Bejövő IPsec-partner, amelyik egyetlen profilhoz sem illik? Négy mező ellenőrzése

A partnere azt jelenti, hogy az alagút fel van épülve, az Ön oldala nem mutat biztonsági társítást, és a konfigurációs fájl egyértelműen tartalmaz egy illeszkedő kapcsolatnevet. Mindhárom állítás egyszerre igaz lehet. A bejövő egyeztetést a futó konfigurációhoz illesztik, a partner címének, az általa bemutatott identitásnak és az általa javasolt forgalomnak megfelelően. A lemezre írt, soha be nem töltött fájl, az elvárt értéktől eltérő identitás, vagy egy előtaggal eltolt szelektorpár mindegyike csendet eredményez. Járja végig a négy mezőcsoportot abban a sorrendben, ahogy a válaszadó teszi.

A csomagtól induljon, ne a fájltól

A válaszadó IKE-kérelmet kap, keres egy definíciót, amely elfogadhatja ezt a partnert, majd továbblép a hitelesítésre és a forgalom kiválasztására. Ha az első lépésben egyetlen betöltött definíció sem illeszkedik, az egyeztetés véget ér, mielőtt hasznos hiba érkezne a felhasználóhoz.

Ezért a „a konfiguráció jól néz ki” nem bizonyíték. A kérdés az, mit töltött be a futó szolgáltatás, és melyik bejegyzést választotta ehhez a kísérlethez. Az állapotlista ezt egyetlen paranccsal megválaszolja, míg a szerkesztő puffere más kérdésre válaszol. Ellenőrizze a listát, mielőtt újra módosítja a fájlt.

Első mezőcsoport: a ténylegesen betöltött definíció

Ellenőrizze a futó állapotot a daemont birtokló eszközzel: betöltött kapcsolatokat listázó állapotparanccsal, nem a szerkesztő pufferével. Erősítse meg, hogy az elvárt bejegyzés jelen van, engedélyezett a kívánt indítási viselkedéshez, és az utolsó módosítása után töltődött be. A mentett, de újra nem töltött fájl a leggyakoribb oka a „kijavítottam, és semmi sem változott” mondatnak.

Azt is erősítse meg, melyik fájlt olvassa a szolgáltatás. A disztribúciók eltérnek, és a rossz include-ba írt kapcsolatot csendben figyelmen kívül hagyják ahelyett, hogy elutasítanák. Ha az állapotlista egyáltalán nem mutatja a bejegyzését, az include útvonalát gyanúsítsa a szintaxis előtt.

Második mezőcsoport: a végpontok nem identitások

A cím, ahonnan a partner csatlakozik, és az identitás, amellyel hitelesíti magát, külön mezők. A gépnév, a megkülönböztető név, a kulcsazonosító és a cím mind szolgálhat IKE-identitásként a konfigurációtól függően, és egyáltalán nem kell a nyilvános címhez hasonlítaniuk.

A végpontok illesztése NAT-nézetet is magában foglalhat: a hálózaton látott cím eltérhet attól a címtől, amelyről a partner azt hiszi, hogy rendelkezik vele. A libreswan kapcsolatmodelljében a left és a right a két résztvevő címkéje, nem pedig a helyi és a távoli rögzített sorrendje, ezért egy működő konfiguráció másik telephelyről való átmásolása a címek felcserélésével nem megbízható fordítás.

Írja fel mindkét fél elvárt identitását és az azt igazoló hitelesítő adatot. Ha ez a két sor nem egyezik, semmilyen címhangolás nem eredményez egyezést.

Harmadik mezőcsoport: a védett forgalom

A szelektorok a belső forrás- és céltartományokat, azok címcsaládját és bármilyen protokoll- vagy portkorlátozást írják le. Az egyetlen gazdagép-címre vonatkozó javaslat nem ugyanaz a kérés, mint egy egész alhálózatra, és az alhálózatra beállított válaszadó elutasíthatja vagy szűkítheti.

Amikor a két vég nem ért egyet, hasonlítsa össze a szándékolt folyamot mindkét nézőpontból ahelyett, hogy minden szelektort kiterjesztene, hogy valami csatlakozzon. Kérdezze meg mindkét adminisztrátort, milyen folyamot vél védeni, majd hasonlítsa össze a két választ. Az eltérés általában az egyik oldalon gazdagép-előtag, a másikon alhálózat. Az az alagút, amely azért illeszkedik, mert most mindent véd, más biztonsági döntés, és olyan, amelyet senki sem hagyott jóvá.

Negyedik mezőcsoport: egy implementációt olvas

A Libreswan, a régi Openswan és a strongSwan különböző kezelőeszközökkel, különböző konfigurációs szintaxissal és különböző illesztési sorrenddel rendelkezik. Az egyik működő példája semmit sem mond pontosan a másik profilválasztási prioritásáról vagy hibaüzeneteiről, ezért ellenőrizze az ezen a gazdagépen futó daemon dokumentációjával.

Kösse össze egy kísérletet elejétől a végéig: a kezdeményező forráscímét, a felajánlott identitást és a javasolt szelektorokat — a válaszadó kiválasztási üzenetével és az általa megnevezett betöltött bejegyzéssel szemben. A nulla beágyazási és kibontási számláló csak azt mondja, hogy a megfigyelt társítások nem szállították ezeket a csomagokat; nem nevezik meg a javaslatot elutasító végpontot, és nem bizonyítják, hogy abban a pillanatban létezett illeszkedő bejegyzés.

Egyeztetett javítás után erősítse meg a kiválasztott profilt és társítást, majd próbálja ki a ténylegesen engedélyezett szolgáltatást és annak válaszútját. A profil egyezése lehetővé teszi az egyeztetést, és az egyeztetés nem az utolsó hozzáférési ellenőrzés.