IKE-ում MAC-ի անհամապատասխանությունը նշանակում է, որ ընդհանուր բանալու ստուգումը ձախողվել է

Ձեր Cloud VPN մատյանը ցույց է տալիս ընդհանուր բանալու փորձ, որին հաջորդում է MAC mismatched, և առաջին բնազդը հաճախ հասցեի խնդրի որոնումն է։ Այս ճյուղում MAC-ը հաղորդագրության նույնականացման կոդ է՝ արժեք, որը հաշվարկվում է բանակցված բանալիով փոխանակության վրա։ Գործընկերը համեմատեց իր հաշվարկը ստացված արժեքի հետ, և դրանք տարբերվում էին։ Այստեղ ցանցային քարտ չի ներգրավված, և ոչ մի միջերեսի կարգավորում չի փոխում այդ համեմատությունը։

Գործնականում այն առաջացնում են երկու պայման՝ երկու ծայրերի գաղտնիքները նույն արժեքը չեն, կամ գաղտնիքն ընտրելու համար օգտագործվող ինքնությունները չեն համապատասխանում։ Որոշեք, թե որն է՝ կարդալով զույգը, ոչ թե առանձին թունելը։

Ինչ է ապացուցում փուլը

Ստուգումն անցնում է այն բանից հետո, երբ երկու կողմերը փոխանակել են սկզբնական պարամետրերը և ներկայացել։ Այն ընտրում է թեկնածու ընդհանուր բանալիներ տեղական և հեռավոր ինքնությունների համար և փորձում վավերացնել ստացված նույնականացման տվյալները. երբ ոչ մեկը չի վավերացվում, արտածվում է ախտորոշումը։ Սա ուժեղ պնդում է նույնականացման մասին և թույլ՝ պատճառի մասին, որովհետև չի ասում, թե որ կողմն է սխալ։

Նախկին հաջողությունը չի տեղափոխվում այս ստուգում։ Ավարտված IKE_SA_INIT-ը կամ NAT-ի հայտնաբերման ծանրաբեռնվածությունը, որը վերադարձրել է սպասված արժեքները, ապացուցում է, որ գործընկերները կարող են խոսել։ Այն ոչինչ չի ապացուցում այն մասին, թե արդյոք նրանք կիսում են գաղտնիք։

Երկու կոնֆիգուրացիոն սխալ, մեկ հաղորդագրություն

Առաջինը գաղտնիքի իրական անհամապատասխանությունն է, և սովորաբար դա մատակարարման պատահար է՝ գեներացված արժեք, որը տեղադրվել է մի կոնսոլում և վերամուտքագրվել մյուսում, վերջնական նշան, որը պահպանվել է մի կողմում, կամ չակերտ, որը եկել է տեղադրման հետ։ Երկրորդը ինքնության անհամապատասխանությունն է, որտեղ գաղտնիքը ճիշտ է, բայց գործընկերոջ ներկայացրած ինքնությունը ընտրում է այլ գրառում, ուստի ճիշտ գաղտնիքը երբեք չի փորձվում։ Երկուսն էլ տալիս են նույն տողը, դրա համար գուշակելը արժե մի կես օր։

Համեմատեք զույգը նախքան որևէ գաղտնիքի դիպչելը։ Համապատասխանեցրեք թունելը, գործընկերոջ վերջնակետը, ժամանակային պատուհանը և հեռավոր կոնֆիգուրացիան, որովհետև երկու ավելորդ թունելներ կարող են տարբեր գաղտնիքներ պահել, և ձեր առջևի էկրանը կարող է լինել ոչ այն, որ ձախողվել է։

NAT-ի հայտնաբերումը այլ փուլ է

NAT-ի հայտնաբերումը հարցնում է, թե ինչպես են փաթեթները վերագրվում, ոչ թե ով է գործընկերը։ NAT-ի հետևում գտնվող հաճախորդի դարպասը դեռ ճիշտ նույնականացվում է, երբ նրա կարգավորված ինքնությունը գործընկերոջ սպասածն է, և NAT-ի խնդիրը երևում է որպես առաջարկի կամ պորտի անհամապատասխանություն, ոչ թե ձախողված նույնականացման համեմատություն։

Չփոխանցեք հին պնդումը մեկ մատակարարի թողարկման մասին ընթացիկ տեղակայմանը։ Ինչ պահանջում է NAT-ի անցումը ձեր թողարկման մեջ, պատկանում է իր սեփական փաստաթղթերին, և MAC mismatch արտահայտությունը ապացույց չէ կողմ կամ դեմ։

Որոշեք զույգից, ոչ էկրանից

Կարդացեք երկու կոնֆիգուրացիաները կողք կողքի՝ գաղտնիքը թաքցրած, ապա տվեք երեք հարց։ Արդյո՞ք յուրաքանչյուր կողմի ինքնությունը ճիշտ այն է, ինչ սպասում է մյուսը՝ տառ առ տառ։ Արդյո՞ք երկու ծայրերը օգտագործում են նույն IKE տարբերակը և նույն նույնականացման մեթոդը։ Արդյո՞ք ձախողվող թունելը համապատասխանում է ձեր կարդացած կոնֆիգուրացիային։ Այս հարցերից որևէ մեկին «ոչ» պատասխանը որոշում է վերանորոգումը՝ առանց գաղտնիքին դիպչելու։

Եթե բոլոր երեքը մաքուր են, փոխարինեք գաղտնիքը հաստատված աշխատահոսքով, փոխարենը դրա շուրջ խմբագրելու։

Այն բանից հետո, երբ գործընկերը նույնականացվի

Հենց նույնականացումը հաջողվի, հաջորդ ձախողման մակերեսը դուստր անվտանգության միավորումն է՝ առաջարկները և երթևեկության ընտրիչները։ Արդեն ընդունված գաղտնիքի պտտումը չի կարող ուղղել դուստր ձախողումը, և այն երկարացնում է ընդհատումը։ Կարդացեք դուստրի վիճակը, ապա ընտրիչները և պաշտպանված միջակայքերը երկու կողմերում, և համապատասխանեցրեք Cloud VPN-ի խնդիրների լուծման ուղեցույցը այն փուլին, որն իրականում ձախողվել է։

Կապակցեք թարմ մատյանները երկու ծայրերից նույն զույգի և նույն պատուհանի համար։ Մեկ կողմը միայնակ տալիս է դատավճիռ առանց մյուսի մուտքի, և հենց այդ երկիմաստությունն առաջացրեց հաղորդագրությունն ի սկզբանե։

Ինչ չեզրակացնել

Չկարդաք հաղորդագրությունը որպես MAC հասցեները փոխելու պահանջ և մի հրապարակեք ընդհանուր գաղտնիքը՝ օգնություն խնդրելիս. բանալին պարունակող հատվածից պետք է հեռացնել բանալին, ոչ թե պահել մատյանը։ Չենթադրեք նաև երթուղավորման խափանում, որովհետև միմյանց չհասնող գործընկերները ընդհանրապես նույնականացման համեմատություն չեն ստեղծում։ Եվ մի ընդհանրացրեք մեկ ապրանքանիշի փաստաթղթավորված սահմանափակումը յուրաքանչյուր IPsec իրականացման։

Գրանցեք ձախողվող զույգը, թունելի վիճակը առաջ և հետո, և թե երկու պայմաններից որն եք փոխել։ Այդ գրառումը հաջորդ դեպքը դարձնում է հինգ րոպեի ստուգում։