Երբ IKEv2-ը վերադարձնում է TS_UNACCEPTABLE, համեմատեք իրական ենթացանցերը

TS_UNACCEPTABLE-ը կարդացեք որպես ծածկույթի շուրջ անհամաձայնություն, ոչ որպես փչացած պրոֆիլ։ Դարպասը ասում է, որ երկու կողմերը չեն կարողացել համաձայնել, թե որ հասցեները կարող է կրել այս թունելը։ IKE SA-ն այդ պահին կարող է արդեն բարձրացված լինել, դրա համար էլ հաճախորդը կարող է միացված թվալ՝ առանց հետևում որևէ դուստր SA-ի։ Երբ այդպես ձևակերպեք, աշխատանքը դառնում է մեխանիկական։ Գրեք երկու կողմերի նախատեսված նախածանցերը, համեմատեք դրանք մեկ ուղղությամբ և նեղացրեք, մինչև դրանք հատվեն։

Նախ գրեք նախատեսված զույգերը

Նախքան կարգավորումներին դիպչելը, թվարկեք չորս արժեք՝ նախաձեռնողի աղբյուրի տիրույթը, նրա նպատակակետի տիրույթը և նույն զույգը պատասխանողի կողմից։ Գրանցեք նաև յուրաքանչյուրի հասցեների ընտանիքը։ IPv4 տիրույթը և IPv6 տիրույթը տարբեր ընտրիչի տեսակներ են, և ոչ մեկը չի կարող ծալվել մյուսի բեռնվածքի մեջ։

Ավելացրեք քաղաքականության կրած ցանկացած արձանագրության կամ պորտի սահմանափակում։ Կանոնը, որը թույլ է տալիս միայն TCP 445 դեպի ֆայլային սպասարկիչ, նկարագրում է ավելի նեղ բազմություն, քան այն ենթացանցը, որում այն գտնվում է։ Եթե դա թողնեք ձեր նշումներից դուրս, բանակցության արդյունքը անհետևողական կթվա ձեզ անտեսանելի պատճառներով։

Շրջեք պիտակները համեմատելուց առաջ

Տեղականը և հեռավոր հարաբերական պիտակներ են։ Հաճախորդի տեղական նախածանցը դարպասի հեռավոր տիրույթն է, իսկ դարպասի տեղական տիրույթը՝ հաճախորդի հեռավոր տիրույթը։ Այդ պատճառով երկու ծայրերից արված էկրանի նկարները երբեք չեն համընկնում, և դրանք բառացի համեմատելը կեսօր կորցնելու սովորական եղանակն է։

Պատասխանողը կարող է առաջարկը նեղացնել ընդունելի ենթաբազմության՝ այն մերժելու փոխարեն։ Այդ արդյունքը ավելի վատն է, քան մաքուր ձախողումը, որովհետև այն կիսով է աշխատում։ Խնդրեք 10.0.0.0/16, երբ քաղաքականությունը թույլ է տալիս 10.0.5.0/24, և կարող եք վերջանալ դուստր SA-ով, որը ծածկում է միայն այդ /24-ը։ Մեկ սերվեր պատասխանում է, մնացած ամեն ինչ դուրս է մնում, և հաճախորդում ոչինչ դա չի ասում։ Նախքան եզրակացնելը, որ բանակցությունը հաջողվել է, կարդացեք ընդունված ընտրիչները, ոչ թե պահանջվածները։

Լռելյայն երթուղի պահանջող road warrior պրոֆիլները մշտապես հայտնվում են այստեղ։ Բաժանված մուտքի համար կառուցված դարպասը ամբողջ տիրույթի առաջարկը նեղացնում է իր ենթացանցերին, և հաճախորդը պետք է ընդունի նեղացված արդյունքը կամ բարձր ձայնով ձախողվի։

Մերժումը կարդացեք մեկ փորձից

Հավաքեք երկու մատյաններն էլ միևնույն միացման փորձից։ Պահված պրոֆիլը ցույց է տալիս, թե ինչ եք կարգավորել, ոչ թե ինչ է առաջարկվել, և strongSwan-ում swanctl --log-ը տպում է ստացված ծանուցումը՝ իր կրած ընտրիչների հետ միասին։

Ապա ստուգեք, թե ինչ փաստացի տեղադրվեց։ swanctl --list-sas-ը ցույց է տալիս դուստր SA-ի ընտրիչները, իսկ ip xfrm policy-ը՝ նույն տիրույթները որպես միջուկի քաղաքականության գրառումներ։ Այդ ցանկում չնախատեսված ընտրիչներով դուստր SA-ն նեղացման դեպք է, իսկ մատյանում դուստր SA-ի բացակայությունը TS_UNACCEPTABLE-ի հետ՝ մերժում։

Քանի դեռ այնտեղ եք, առանձնացրեք մոտ հարևաններին։ INVALID_SELECTORS-ը բողոքում է հաստատված դուստր SA-ի ներսում գտնվող ընտրիչից, մինչդեռ INTERNAL_ADDRESS_FAILURE-ը նշանակում է, որ պատասխանողը չի կարողացել վիրտուալ հասցե հատկացնել, ինչը պաշարի խնդիր է, ոչ թե ծածկույթի։

Ստուգեք, թե ինչն է լուռ փոքրացնում բազմությունը

Երեք բան փոքրացնում է ընտրիչների բազմությունը՝ ոչինչ չասելով։ Առաջինը պատասխանողի քաղաքականությունն է՝ ենթացանցերի ցանկերով, խմբային կանոններով կամ ըստ օգտվողի լիազորմամբ, որոնք առաջարկը հասցնում են ենթաբազմության։ Երկրորդը հասցեների ընտանիքն է՝ երկակի կույտով հաճախորդը հաճախ IPv6 է առաջարկում IPv4-ի կողքին և մերժում ստանում այն տիրույթների համար, որոնք դարպասը երբեք չի կարգավորել։

Երրորդը արձանագրության և պորտի սահմանափակումներն են։ Այնտեղ, որտեղ քաղաքականությունը թույլ է տալիս միայն TCP 445, դուստր SA-ն կարող է բարձրանալ, մինչդեռ ICMP-ն և UDP-ն մնում են դրանից դուրս, և օգտվողը հաղորդում է կոտրված թունելի մասին, երբ թույլատրված էր ընդամենը մեկ արձանագրություն։

Ուստի միայն հասցեները լայնացնելը չի կարող շտկել պորտով սահմանափակված քաղաքականությունը, և հենց այդ դեպքն է, որ ամենայն հավանականությամբ անփոփոխ կանցնի անսարքությունների վերացման երեք փուլերից։

Ապացուցեք ծածկույթը համապատասխան երթևեկությամբ

Դուստր SA-ի տեղադրումից հետո ուղարկեք մեկ հարցում, որն անպայման ընկնում է ընդունված տիրույթների ներսում։ Դիտեք հաշվիչները, ոչ թե կարգավիճակի պատկերակը՝ ip -s xfrm state-ը և ip xfrm policy-ի հետևի հաշվիչները աճում են, երբ փաթեթը համապատասխանեցվում և պաշտպանվում է։ Իրական երթևեկությունից հետո զրոյի վրա մնացող բայթերի քանակը նշանակում է, որ միջուկը երբեք չի ընտրել այդ քաղաքականությունը։

Այդ զրոն երթուղավորման կամ քաղաքականության հերթականության խնդիր է, ոչ թե գաղտնագրության։ Այն նաև բոլորովին նույն տեսքն ունի, ինչ ընտրիչի մերժումը օգտվողի տեղից, դրա համար էլ արժե հավաքել հաշվիչները՝ նախքան պրոֆիլը նորից բացելը։ Միայն մեկ ուղղությամբ աճող հաշվիչները փոխարենը մատնանշում են վերադարձի ուղին։

Ավարտեք՝ ընդունված զույգը գրելով տոմսի մեջ, ի սկզբանե պահանջված տիրույթի կողքին։ Պահեք ընտրությունը պահանջի չափ նեղ, որովհետև սխալը մասնավոր տիրույթը բոլոր հասցեներով փոխարինելով վերացնելը տալիս է շատ ավելի մուտք, քան հաստատվել էր հաշվի համար։