Lima peran alamat dalam profil IPsec, dan mana yang salah

Lima pekerjaan berbeda mendapat alamat dalam definisi koneksi yang khas, dan semuanya tidak harus saling cocok. Administrator sering macet karena naluri yang wajar, yaitu mengarahkan semua field ke host yang sama, justru salah untuk setidaknya tiga di antaranya. Jalan keluarnya adalah menamai gejalanya lebih dulu, lalu melihat satu atau dua field yang mungkin menghasilkannya.

Kelima pekerjaan itu, dalam urutan kepentingannya

Endpoint transport adalah tempat pertukaran IKE dikirimkan. Identitas yang diautentikasi adalah nama yang dibuktikan tiap pihak, dan nama itu diperiksa terhadap kebijakan, bukan terhadap tabel routing. Subnet terlindungi adalah selektor yang menentukan lalu lintas dalam mana yang termasuk dalam terowongan. Lalu ada sumber yang dipakai ketika gateway sendiri memulai percakapan, dan terakhir hop berikutnya di lapisan bawah untuk mencapai peer.

Label peserta seperti left dan right adalah konvensi untuk dua sisi koneksi, bukan sinonim dari lokal dan jarak jauh. Baca manual implementasi yang benar-benar terpasang sebelum menganggap sebuah kunci berarti apa yang dimaksud produk lain dengannya.

Keputusan pertama: tidak ada yang terbentuk

Ketika sama sekali tidak ada pertukaran yang muncul di log, endpoint adalah tersangka pertama: alamat yang salah, jalur yang tersaring, atau antarmuka yang tidak didengarkan daemon. Baru pindah ke field identitas setelah handshake terlihat, karena identitas dinilai di dalam pertukaran, bukan sebelumnya. Jalur tersaring dan alamat salah terlihat identik dari sisi klien, jadi periksa sisi yang mendengarkan sebelum menyunting apa pun. Pastikan daemon terikat ke antarmuka yang Anda harapkan, karena layanan yang mendengarkan pada satu alamat terlihat persis seperti jalur yang diblokir.

Alamat publik yang teramati melalui penerjemahan bukan hal yang sama dengan identitas yang dibuktikan peer. Mengubah alamat agar cocok dengan apa yang ditunjukkan tangkapan paket di ujung jauh adalah koreksi yang umum dan salah.

Keputusan kedua: terowongan naik dan lalu lintas mati

Selektor menentukan apa yang masuk ke terowongan, dan ketidakcocokan di sini menghasilkan koneksi yang berhasil bernegosiasi sementara aplikasi tetap gagal. Sisi jauh harus menamai rentang terlindungi Anda sebagai rentang jauhnya, dan di situlah nilai terbalik menyelinap masuk.

Baca kedua konfigurasi berdampingan sebelum menyunting. Rentang lokal di satu host adalah rentang jauh di host lain, dan satu pasangan yang tertukar menjelaskan terowongan yang tidak membawa apa pun. Persempit pasangan itu sebelum menyentuh kuncinya: satu subnet di dalam terowongan dan satu di luar memberi tahu Anda apakah selektor atau routing yang salah.

Keputusan ketiga: hanya lalu lintas gateway sendiri yang gagal

Lalu lintas yang diteruskan untuk klien bisa bekerja sempurna sementara permintaan yang dimulai gateway sendiri gagal, karena aliran itu tidak punya sumber klien untuk diwarisi. Pengaturan sumber pilihan ada justru untuk kasus ini, dan itu bukan penerjemahan sumber: ia memilih alamat sumber alih-alih menulis ulang satu.

Aplikasi yang secara eksplisit mengikat alamat lain dapat mengalahkan preferensi itu, jadi pastikan sumber paket yang sebenarnya sebelum menyimpulkan pengaturan itu diabaikan. Tangkap di antarmuka gateway sendiri alih-alih memercayai niat konfigurasinya.

Hop berikutnya adalah instruksi lokal

Hop berikutnya di lapisan bawah memberi tahu host ini cara mencapai peer, dan sisi jauh tidak memerlukan nilai yang sama. Memperlakukannya sebagai pengaturan bersama, atau mengodekan gateway default secara keras, rusak pada saat rute berubah atau jalur kedua muncul.

Beberapa implementasi menawarkan nilai khusus di sini. Apa yang dicantumkan manual untuk versi terpasang adalah satu-satunya jawaban yang aman, dan tabel routing lokal adalah buktinya berhasil. Ketika peer dapat dijangkau lewat nama tetapi tidak lewat alamat, ketidakcocokan itulah temuannya, bukan detail yang harus diakali.

Baca profil dari kedua ujung

Membalik peran di atas kertas adalah tinjauan tercepat yang ada: tukar rentang terlindungi, pertahankan hop berikutnya masing-masing sisi dan identitas masing-masing sisi. Apa pun yang tidak bertahan melewati pertukaran itu kemungkinan besar ditugaskan ke pekerjaan yang salah.

Lalu uji satu aliran per peran: keterjangkauan peer-ke-peer, aliran klien internal, dan permintaan yang berasal dari gateway. Tiga uji memberi tahu Anda pekerjaan mana yang salah tugas tanpa membuka konfigurasi lagi. Tambahkan hasilnya ke tiket di samping field yang Anda ubah, karena insinyur berikutnya akan bertemu profil yang sama.