Peer IPsec masuk tidak cocok dengan profil mana pun? Periksa empat bidang

Peer Anda melaporkan terowongan sudah aktif, sisi Anda tidak menunjukkan asosiasi keamanan, dan berkas konfigurasi jelas memuat nama koneksi yang cocok. Ketiga pernyataan itu bisa semuanya benar. Negosiasi masuk dicocokkan dengan konfigurasi yang berjalan, memakai alamat peer, identitas yang disajikannya, dan lalu lintas yang diusulkannya. Berkas di disk yang tidak pernah dimuat, identitas yang tidak cocok dengan nilai yang diharapkan, atau pasangan selektor yang meleset satu prefiks — masing-masing menghasilkan keheningan. Telusuri keempat kelompok bidang dalam urutan yang diikuti responden.

Mulai dari paket, bukan dari berkas

Responden menerima permintaan IKE, mencari definisi yang dapat menerima peer ini, lalu melanjutkan dengan autentikasi dan pemilihan lalu lintas. Jika tidak ada definisi termuat yang cocok pada langkah pertama, negosiasi berakhir sebelum galat yang berguna sampai ke pengguna.

Karena itu “konfigurasinya terlihat benar” bukan bukti. Pertanyaannya adalah apa yang telah dimuat layanan yang berjalan dan entri mana yang dipilihnya untuk percobaan ini. Daftar status menjawabnya dengan satu perintah, sedangkan penyangga penyunting menjawab pertanyaan lain. Periksa daftar itu sebelum Anda mengubah berkas lagi.

Kelompok bidang pertama: definisi yang benar-benar dimuat

Periksa keadaan yang berjalan dengan alat yang memiliki daemon: perintah status yang mendaftar koneksi termuat, bukan penyangga penyunting. Pastikan entri yang Anda harapkan ada, diaktifkan untuk perilaku awal yang Anda maksud, dan dimuat setelah suntingan terakhir Anda. Berkas tersimpan yang tidak dimuat ulang adalah penyebab paling umum dari “saya sudah memperbaikinya dan tidak ada yang berubah”.

Pastikan juga berkas mana yang dibaca layanan. Distribusi berbeda-beda, dan koneksi yang ditulis pada include yang salah diabaikan diam-diam alih-alih ditolak. Jika daftar status sama sekali tidak menampilkan entri Anda, curigai jalur include sebelum mencurigai sintaksis.

Kelompok bidang kedua: titik ujung bukan identitas

Alamat asal koneksi peer dan identitas yang dipakainya untuk autentikasi adalah bidang terpisah. Nama host, nama terbedakan, ID kunci, dan alamat semuanya dapat menjadi identitas IKE bergantung pada konfigurasi, dan tidak harus tampak seperti alamat publik sama sekali.

Pencocokan titik ujung juga dapat melibatkan tampilan NAT: alamat yang terlihat di jaringan bisa berbeda dari alamat yang diyakini peer. Dalam model koneksi libreswan, left dan right adalah label bagi kedua peserta, bukan urutan lokal dan jarak jauh yang tetap, sehingga menyalin konfigurasi yang berfungsi dari situs lain lalu menukar alamatnya bukan terjemahan yang andal.

Catat identitas yang diharapkan dari kedua sisi dan kredensial yang memvalidasinya. Jika kedua baris itu tidak sepakat, tidak ada jumlah penyesuaian alamat yang akan menghasilkan kecocokan.

Kelompok bidang ketiga: lalu lintas yang dilindungi

Selektor menjabarkan rentang sumber dan tujuan dalam, keluarga alamatnya, serta pembatasan protokol atau porta. Usulan untuk alamat satu host bukan permintaan yang sama dengan usulan untuk seluruh subnet, dan responden yang dikonfigurasi untuk subnet itu dapat menolak atau menyempitkannya.

Ketika kedua ujung tidak sepakat, bandingkan aliran yang dimaksud dari kedua sudut pandang alih-alih melebarkan setiap selektor agar sesuatu dapat tersambung. Tanyakan kepada setiap administrator aliran apa yang menurutnya dilindungi, lalu bandingkan kedua jawaban. Ketidaksesuaian biasanya prefiks host di satu sisi dan subnet di sisi lain. Terowongan yang cocok karena kini melindungi segalanya adalah keputusan keamanan yang berbeda, dan yang tidak disetujui siapa pun.

Kelompok bidang keempat: Anda membaca satu implementasi

Libreswan, Openswan lama, dan strongSwan memiliki alat manajemen berbeda, sintaksis konfigurasi berbeda, dan urutan pencocokan berbeda. Contoh yang berfungsi pada satu tidak mengatakan apa pun yang tepat tentang prioritas pemilihan profil atau perumusan galat pada yang lain, jadi verifikasi dengan dokumentasi daemon di host ini.

Korelasikan satu percobaan dari awal sampai akhir: alamat sumber inisiator, identitas yang ditawarkan, dan selektor yang diusulkan — terhadap pesan pemilihan responden dan entri termuat yang disebutnya. Penghitung enkapsulasi dan dekapsulasi nol hanya mengatakan bahwa asosiasi yang teramati tidak membawa paket tersebut; itu tidak menyebut titik ujung yang menolak usulan atau membuktikan bahwa entri yang cocok ada pada saat itu.

Setelah koreksi yang terkoordinasi, pastikan profil dan asosiasi yang dipilih, lalu uji layanan yang benar-benar diizinkan dan jalur balasannya. Kecocokan profil memungkinkan negosiasi, dan negosiasi bukan pemeriksaan akses terakhir.