Neslaganje MAC u IKE-u znači da je provjera zajedničkog ključa neuspješna

Vaš Cloud VPN zapis pokazuje pokušaj sa zajedničkim ključem nakon kojeg slijedi MAC mismatched, a prvi instinkt često je traženje problema s adresom. U ovoj grani MAC je kod za autentifikaciju poruke: vrijednost izračunata nad razmjenom s dogovorenim ključem. Partner je usporedio svoj izračun s primljenom vrijednošću i one su se razlikovale. Ovdje nije uključena mrežna kartica i nijedna postavka sučelja ne mijenja tu usporedbu.

U praksi to izazivaju dva uvjeta: tajne na dva kraja nisu ista vrijednost ili se identiteti koji se koriste za odabir tajne ne podudaraju. Odredite koji tako što ćete pročitati par, a ne pojedinačni tunel.

Što faza dokazuje

Provjera se izvršava nakon što su obje strane razmijenile početne parametre i predstavile se. Odabire kandidatne zajedničke ključeve za lokalni i udaljeni identitet i pokušava validirati primljene podatke autentifikacije; kada nijedan ne prođe, dijagnostika se ispisuje. To je jaka tvrdnja o autentifikaciji i slaba o uzroku, jer ne kaže koja je strana pogriješila.

Raniji uspjeh ne prenosi se u ovu provjeru. Dovršen IKE_SA_INIT ili NAT payload za otkrivanje koji je vratio očekivane vrijednosti dokazuje da partneri mogu razgovarati. Ne dokazuje ništa o tome dijele li tajnu.

Dvije konfiguracijske pogreške, jedna poruka

Prva je stvarno neslaganje tajne i obično je nezgoda pri pripremi: generirana vrijednost instalirana na jednoj konzoli i ponovno upisana na drugoj, završni znak koji je preživio na jednoj strani, ili navodnik koji je došao s lijepljenjem. Druga je neslaganje identiteta, gdje je tajna ispravna ali identitet koji partner predstavlja odabire drugi unos, pa se ispravna tajna nikada ne isproba. Obje daju isti redak, zato nagađanje stoji jedno poslijepodne.

Usporedite par prije nego što dotaknete bilo koju tajnu. Uskladite tunel, završnu točku partnera, vremenski prozor i udaljenu konfiguraciju, jer dva redundantna tunela mogu držati različite tajne a zaslon pred vama možda nije onaj koji je pao.

NAT otkrivanje je druga faza

NAT otkrivanje pita kako se paketi prepisuju, a ne tko je partner. Korisnički gateway iza NAT-a i dalje se ispravno autentificira kada je njegov konfigurirani identitet onaj koji partner očekuje, a problem s NAT-om pojavljuje se kao neslaganje prijedloga ili porta, a ne kao neuspjela usporedba autentifikacije.

Ne prenosite staru tvrdnju o jednom izdanju dobavljača u trenutno postavljanje. Ono što NAT prolaz zahtijeva u vašem izdanju pripada njegovoj vlastitoj dokumentaciji, a fraza MAC mismatch nije dokaz za ili protiv.

Odlučite iz para, a ne sa zaslona

Pročitajte obje konfiguracije jednu uz drugu s uklonjenom tajnom, pa postavite tri pitanja. Je li identitet na svakoj strani točno ono što druga očekuje, slovo po slovo? Koriste li oba kraja istu verziju IKE-a i istu metodu autentifikacije? Odgovara li tunel koji pada konfiguraciji koju čitate? Ne na bilo koje od njih odlučuje popravak bez diranja tajne.

Ako su sva tri čista, zamijenite tajnu kroz odobreni tijek rada umjesto da uređujete oko nje.

Nakon što se partner autentificira

Kada autentifikacija uspije, sljedeća površina kvara je dijete sigurnosne asocijacije: prijedlozi i selektori prometa. Rotiranje tajne koja je već prihvaćena ne može popraviti kvar djeteta i produljuje prekid. Pročitajte stanje djeteta, zatim selektore i zaštićene raspone na obje strane, i uskladite smjernice rješavanja problema Cloud VPN-a s fazom koja je zaista pala.

Povežite svježe zapise s oba kraja za isti par i isti prozor. Jedna strana sama daje presudu bez ulaza druge, a to je dvosmislenost koja je prvotno stvorila poruku.

Što ne treba zaključiti

Ne čitajte poruku kao zahtjev za promjenom MAC adresa i ne objavljujte zajedničku tajnu dok tražite pomoć; izvadak koji sadrži ključ mora imati uklonjen ključ, a ne sačuvan zapis. Ne pretpostavljajte ni pogrešku usmjeravanja, jer partneri koji ne mogu doći jedan do drugog uopće ne stvaraju usporedbu autentifikacije. I ne generalizirajte dokumentirano ograničenje jedne proizvodne obitelji na svaku IPsec implementaciju.

Zabilježite par koji je pao, stanje tunela prije i poslije i koji ste od dva uvjeta promijenili. Taj zapis pretvara sljedeću pojavu u petominutnu provjeru.