Þegar IKEv2 skilar TS_UNACCEPTABLE, berðu saman raunverulegu undirnetin

Lestu TS_UNACCEPTABLE sem ágreining um umfang, ekki sem skemmt prófíl. Hliðið segir að aðilarnir tveir hafi ekki komist að samkomulagi um hvaða vistföng þessi göng geta borið. IKE SA getur þegar verið uppi á þeirri stundu, og þess vegna getur biðlari litið út fyrir að vera tengdur án barns-SA að baki. Þegar þú rammar þetta þannig inn verður vinnan vélræn. Skrifaðu niður fyrirhuguð forskeyti beggja hliða, berðu þau saman í eina átt og þrengdu þar til þau skerast.

Skrifaðu fyrirhuguð pörin niður fyrst

Áður en þú snertir stillingarnar skaltu telja upp fjögur gildi: upprunasvið frumkvæðisaðilans, áfangasvið þess og sama parið séð frá svarandanum. Skráðu líka vistfangafjölskyldu hvers þeirra. IPv4-svið og IPv6-svið eru mismunandi tegundir valara og hvort tveggja er óhægt að brjóta inn í farm annars.

Bættu við hvers kyns samskiptareglu- eða porttakmörkun sem stefnan ber. Regla sem leyfir aðeins TCP 445 til skráarþjóns lýsir þrengra mengi en undirnetið sem hún situr í. Ef þú sleppir þessu úr athugasemdunum mun niðurstaða samningaviðræðnanna virðast ósamkvæm af ástæðum sem þú sérð ekki.

Snúðu merkunum við áður en þú berð þau saman

Staðbundið og fjarlægt eru hlutstæð merki. Staðbundið forskeyti biðlarans er fjarlæga svið hliðsins, og staðbundið svið hliðsins er fjarlæga svið biðlarans. Þess vegna stemma skjáskot frá báðum endum aldrei saman, og að bera þau saman bókstaflega er venjulega leiðin til að missa síðdegi.

Svarandinn getur þrengt tilboð að ásættanlegu hlutmengi í stað þess að hafna því. Sú niðurstaða er verri en hreint mistök, því hún virkar hálfa leið. Biddu um 10.0.0.0/16 þegar stefnan leyfir 10.0.5.0/24 og þú getur endað með barns-SA sem nær aðeins yfir það /24. Einn vefþjónn svarar, allt annað fellur utan við og ekkert í biðlaranum segir það. Lestu samþykktu valarana frekar en þá sem beðið var um áður en þú ályktar að samningaviðræðurnar hafi tekist.

Road warrior prófílar sem biðja um sjálfgefið leið lenda hér stöðugt. Hlið byggt fyrir skiptaðgang þrengir tilboð um fullt svið að eigin undirnetum og biðlarinn verður að samþykkja þrengdu niðurstöðuna eða mistakast hávært.

Lestu höfnunina út frá einni tilraun

Safnaðu báðum annálunum úr sömu tengingartilraun. Vistaður prófíll sýnir hvað þú stilltir, ekki hvað var lagt til, og á strongSwan prentar swanctl --log móttökutilkynninguna ásamt valurunum sem hún bar.

Skoðaðu svo hvað var í raun sett upp. swanctl --list-sas sýnir valara barns-SA og ip xfrm policy sýnir sömu svið sem færslur í kjarnastefnu. Barns-SA í þeim lista með valara sem þú ætlaðir ekki er þrengingaratburður; ekkert barns-SA ásamt TS_UNACCEPTABLE í annálnum er höfnun.

Aðskildu nánu nágrannana á meðan þú ert þar. INVALID_SELECTORS kvartar undan valara inni í staðfestu barns-SA, en INTERNAL_ADDRESS_FAILURE þýðir að svarandinn gat ekki úthlutað sýndarvistfangi, sem er vandamál í laug en ekki í umfangi.

Athugaðu hvað minnkar mengið hljóðlaust

Þrír hlutir minnka valaramengi án þess að segja nokkurn skapaðan hlut. Stefna svarandans er fyrst, í gegnum undirnetaskrár, hópareglur eða heimildir á hvern notanda sem draga úr tilboðinu í hlutmengi. Vistfangafjölskyldan er önnur: tvíþátta biðlari leggur oft til IPv6 við hlið IPv4 og fær höfnun fyrir svið sem hliðið stillti aldrei.

Samskiptareglu- og porttakmarkanir eru þriðja. Þar sem stefnan leyfir aðeins TCP 445 getur barns-SA risið á meðan ICMP og UDP halda sig utan þess, og notandinn tilkynnir brotin göng þegar ein samskiptaregla var allt sem nokkurn tíma var leyft.

Þess vegna getur útvíkkun vistfanga ein og sér ekki lagað porttakmarkaða stefnu, og það er einmitt tilfellið sem líklegast lifir þrjár lotur bilanalistar óbreytt.

Sannaðu umfangið með umferð sem passar

Eftir að barns-SA hefur verið sett upp skaltu senda eina beiðni sem fellur örugglega innan samþykktu sviðanna. Fylgstu með teljurunum í stað stöðutáknsins: ip -s xfrm state og teljarnir á bak við ip xfrm policy hækka þegar pakki passar og er varinn. Bætatölur sem standa í núlli eftir raunverulega umferð þýða að kjarninn valdi aldrei þá stefnu.

Þetta núll er beiningar- eða stefnuröðarvandamál, ekki dulritunarvandamál. Það lítur líka nákvæmlega út eins og höfnun valara frá sjónarhóli notandans, og þess vegna er þess virði að safna teljunum áður en þú opnar prófílinn aftur. Teljarar sem hækka aðeins í eina átt benda í staðinn á heimleiðina.

Kláraðu með því að skrifa samþykkta parið í miðann, við hlið sviðsins sem upphaflega var beðið um. Haltu valinu eins þröngu og krafan segir til, því að eyða villunni með því að skipta einkasviði út fyrir öll vistföng veitir mun meiri aðgang en samþykkt var fyrir reikninginn.