Kad IKEv2 vrati TS_UNACCEPTABLE, uporedite stvarne podmreže

Čitajte TS_UNACCEPTABLE kao neslaganje o pokrivenosti, a ne kao oštećen profil. Prolaz kaže da se dva vrha nisu mogla dogovoriti koje adrese ovaj tunel smije prenositi. IKE SA u tom trenutku već može biti podignuta, zbog čega klijent može izgledati povezan bez podređene SA iza sebe. Kad to tako uokvirite, posao postaje mehanički. Zapišite namjeravane prefikse obje strane, uporedite ih u jednom smjeru i suzite dok se ne presijeku.

Prvo zapišite namjeravane parove

Prije nego dirnete konfiguraciju, navedite četiri vrijednosti: izvorni raspon inicijatora, njegov odredišni raspon i isti par viđen sa strane odgovarača. Zapišite i adresnu porodicu svakog od njih. IPv4 raspon i IPv6 raspon različite su vrste selektora i nijedan se ne može saviti u korisni teret onog drugog.

Dodajte svako ograničenje protokola ili porta koje nosi politika. Pravilo koje dopušta samo TCP 445 prema datotečnom serveru opisuje uži skup od podmreže u kojoj se nalazi. Ako to izostavite iz bilješki, rezultat pregovora izgledat će nedosljedan iz razloga koje ne vidite.

Okrenite oznake prije nego ih uporedite

Lokalno i udaljeno su relativne oznake. Lokalni prefiks klijenta je udaljeni raspon prolaza, a lokalni raspon prolaza je udaljeni raspon klijenta. Zato se snimke zaslona s dva kraja nikad ne poklapaju, a doslovno ih upoređivati standardan je način da izgubite poslijepodne.

Odgovarač može suziti ponudu na prihvatljiv podskup umjesto da je odbije. Taj je ishod gori od čistog neuspjeha jer radi napola. Zatražite 10.0.0.0/16 kad politika dopušta 10.0.5.0/24 i možete završiti s podređenom SA koja pokriva samo taj /24. Jedan host odgovara, sve ostalo pada izvan, a ništa u klijentu to ne kaže. Čitajte prihvaćene selektore, a ne tražene, prije nego zaključite da su pregovori uspjeli.

Profili road warrior koji traže zadanu rutu stalno slijetaju ovdje. Prolaz izgrađen za podijeljeni pristup sužava ponudu punog raspona na svoje podmreže, a klijent mora prihvatiti suženi rezultat ili glasno pasti.

Pročitajte odbijenicu iz jednog pokušaja

Prikupite oba zapisa iz istog pokušaja povezivanja. Spremljeni profil pokazuje što ste konfigurirali, a ne što je predloženo, a na strongSwanu swanctl --log ispisuje primljenu obavijest zajedno sa selektorima koje je nosila.

Zatim provjerite što je stvarno instalirano. swanctl --list-sas prikazuje selektore podređene SA, a ip xfrm policy prikazuje iste raspone kao unose kernelove politike. Podređena SA u tom popisu sa selektorima koje niste namjeravali jest događaj sužavanja; nema podređene SA uz TS_UNACCEPTABLE u zapisu znači odbijanje.

Dok ste tamo, razdvojite bliske susjede. INVALID_SELECTORS žali se na selektor unutar uspostavljene podređene SA, dok INTERNAL_ADDRESS_FAILURE znači da odgovarač nije mogao dodijeliti virtualnu adresu, što je problem skupa, a ne pokrivenosti.

Provjerite što tiho smanjuje skup

Tri stvari smanjuju skup selektora bez ijedne riječi. Prva je politika odgovarača kroz popise podmreža, grupna pravila ili autorizaciju po korisniku koja ponudu svodi na podskup. Druga je adresna porodica: klijent s dva sloja često predlaže IPv6 uz IPv4 i dobije odbijanje za raspone koje prolaz nikad nije konfigurirao.

Treće su ograničenja protokola i porta. Gdje politika dopušta samo TCP 445, podređena SA može se podići dok ICMP i UDP ostaju izvan nje, a korisnik prijavi pokvaren tunel kad je samo jedan protokol bio dopušten.

Zato samo proširivanje adresa ne može popraviti politiku ograničenu portom, a to je slučaj koji najvjerojatnije preživi tri kruga rješavanja problema nepromijenjen.

Dokažite pokrivenost prometom koji odgovara

Nakon što se podređena SA instalira, pošaljite jedan zahtjev koji sigurno pada unutar prihvaćenih raspona. Gledajte brojače umjesto ikone stanja: ip -s xfrm state i brojači iza ip xfrm policy rastu kad se paket poveže i zaštiti. Broj bajtova koji ostane na nuli nakon stvarnog prometa znači da kernel nikad nije odabrao tu politiku.

Ta nula je problem usmjeravanja ili redoslijeda politika, a ne kriptografije. Također izgleda isto kao odbijanje selektora iz korisnikove perspektive, zato je brojače vrijedno prikupiti prije nego ponovno otvorite profil. Brojači koji rastu samo u jednom smjeru upućuju na povratni put.

Završite tako da prihvaćeni par zapišete u tiket, uz raspon koji je izvorno zatražen. Držite odabir uskim koliko zahtjev traži, jer uklanjanje pogreške zamjenom privatnog raspona svim adresama daje mnogo više pristupa nego što je račun odobren.