A MAC eltérése az IKE-ban azt jelenti, hogy a megosztott kulcs ellenőrzése sikertelen

A Cloud VPN-naplója megosztott kulcsos kísérletet mutat, amelyet MAC mismatched követ, és az első ösztön gyakran egy címprobléma keresése. Ebben az ágban a MAC üzenethitelesítő kód: a megtárgyalt kulccsal folytatott csere felett számított érték. A partner összehasonlította a saját számítását a kapott értékkel, és azok eltértek. Itt nem szerepel hálózati kártya, és egyetlen felületbeállítás sem változtatja meg ezt az összehasonlítást.

A gyakorlatban két feltétel hozza létre: a két vég titkai nem ugyanaz az érték, vagy a titok kiválasztásához használt identitások nem felelnek meg egymásnak. Döntse el, melyik, a párt olvasva, nem az egyetlen alagutat.

Mit bizonyít a szakasz

Az ellenőrzés azután fut, hogy mindkét fél kicserélte a kezdeti paramétereket és azonosította magát. Kiválasztja a helyi és távoli identitás jelölt megosztott kulcsait, és megpróbálja érvényesíteni a kapott hitelesítési adatokat; amikor egyik sem érvényesül, kiadja a diagnózist. Ez erős állítás a hitelesítésről és gyenge az okról, mert nem mondja meg, melyik fél téved.

A korábbi siker nem kerül át ebbe az ellenőrzésbe. Egy befejezett IKE_SA_INIT vagy egy NAT-felderítési hasznos teher, amely a várt értékeket adta vissza, bizonyítja, hogy a partnerek tudnak beszélni. Semmit sem bizonyít arról, hogy megosztanak-e egy titkot.

Két konfigurációs hiba, egy üzenet

Az első valódi titokeltérés, és általában kiépítési baleset: egy generált érték az egyik konzolon telepítve és a másikon újragépelve, egy záró karakter, amely az egyik oldalon túlélte, vagy egy idézőjel, amely egy beillesztéssel érkezett. A második identitáseltérés, ahol a titok helyes, de a partner által bemutatott identitás más bejegyzést választ, így a helyes titok soha nem kerül kipróbálásra. Mindkettő ugyanazt a sort adja, ezért a találgatás egy délutánba kerül.

Hasonlítsa össze a párt, mielőtt bármelyik titokhoz nyúlna. Egyeztesse az alagutat, a partner végpontját, az időablakot és a távoli konfigurációt, mert két redundáns alagút különböző titkokat tarthat, és az Ön előtti képernyő nem feltétlenül az, amelyik meghibásodott.

A NAT-felderítés más szakasz

A NAT-felderítés azt kérdezi, hogyan íródnak át a csomagok, nem azt, hogy ki a partner. A NAT mögötti ügyfélátjáró továbbra is helyesen hitelesít, ha a konfigurált identitása az, amelyet a partner elvár, és a NAT-probléma javaslat- vagy porteltérésként jelenik meg, nem sikertelen hitelesítési összehasonlításként.

Ne vigyen át egy régi állítást egy szállítóverzióról a jelenlegi telepítésbe. Hogy a NAT-átjárás mit igényel a verziójában, az a saját dokumentációjához tartozik, és a MAC mismatch kifejezés nem bizonyíték mellette vagy ellene.

A párból döntsön, ne a képernyőből

Olvassa el a két konfigurációt egymás mellett a titok elrejtésével, majd tegyen fel három kérdést. Pontosan az-e az identitás mindkét oldalon, amit a másik elvár, karakterről karakterre? Ugyanazt az IKE-verziót és ugyanazt a hitelesítési módszert használja-e a két vég? A meghibásodó alagút megfelel-e az olvasott konfigurációnak? Bármelyikre adott nem eldönti a javítást a titok érintése nélkül.

Ha mindhárom tiszta, cserélje ki a titkot a jóváhagyott munkafolyamaton keresztül, ahelyett hogy körülötte szerkesztene.

Miután a partner hitelesít

Amint a hitelesítés sikerül, a következő hiba felület a gyermek biztonsági egyesülés: javaslatok és forgalomválasztók. Egy már elfogadott titok forgatása nem javítja a gyermekhibát, és meghosszabbítja a kiesést. Olvassa el a gyermek állapotát, majd a választókat és a védett tartományokat mindkét oldalon, és egyeztesse a Cloud VPN hibaelhárítási útmutatót azzal a szakasszal, amely valóban meghibásodott.

Korrelálja a friss naplókat mindkét végződésről ugyanarra a párra és ugyanarra az ablakra. Az egyik fél egyedül ítéletet ad a másik bemenete nélkül, és éppen ez a kétértelműség hozta létre eredetileg az üzenetet.

Mit ne következtessen

Ne olvassa az üzenetet a MAC-címek megváltoztatására vonatkozó követelésként, és ne tegye közzé a megosztott titkot, miközben segítséget kér; a kulcsot tartalmazó részletből a kulcsot el kell távolítani, nem a naplót megtartani. Ne feltételezzen útválasztási hibát sem, mert az egymást el nem érő partnerek egyáltalán nem hoznak létre hitelesítési összehasonlítást. És ne általánosítsa egy termékcsalád dokumentált korlátozását minden IPsec-implementációra.

Jegyezze fel a meghibásodó párt, az alagút állapotát előtte és utána, és hogy a két feltétel közül melyiket változtatta meg. Ez a feljegyzés a következő előfordulást ötperces ellenőrzéssé teszi.