Innkoma IPsec-jafningi passar við ekkert prófíl? Athugaðu fjögur svæði

Jafninginn þinn tilkynnir að göngin séu uppi, þín hlið sýnir enga öryggistengingu og stillingarskráin inniheldur greinilega samsvarandi tengingarheiti. Allar þrjár fullyrðingarnar geta verið sannar á sama tíma. Innkomið samtal er borið saman við stillingarnar í gangi, út frá vistfangi jafningsins, auðkenninu sem hann leggur fram og umferðinni sem hann leggur til. Skrá á diski sem var aldrei hlaðin, auðkenni sem passar ekki við vænt gildi, eða valarapör sem er um eitt forskeyti af skekkt — hvert þeirra veldur þögn. Farðu í gegnum fjögur svæðahópa í þeirri röð sem svarandinn fylgir.

Byrjaðu á pakkanum, ekki skránni

Svarandinn tekur við IKE-beiðni, leitar að skilgreiningu sem getur tekið við þessum jafningja og heldur síðan áfram með auðkenningu og vali á umferð. Ef engin hlaðin skilgreining passar í fyrsta skrefi lýkur samtalinu áður en nokkur gagnleg villa nær til notandans.

Þess vegna er „stillingin lítur rétt út“ ekki sönnun. Spurningin er hvað þjónustan í gangi hefur hlaðið og hvaða færslu hún valdi fyrir þessa tilraun. Stöðulisti svarar því með einni skipun, en ritilblaðið svarar annarri spurningu. Athugaðu listann áður en þú breytir skránni aftur.

Fyrsti svæðahópur: skilgreiningin sem er í raun hlaðin

Athugaðu stöðuna í gangi með verkfærinu sem á daemoninn: stöðuskipun sem listar hlaðnar tengingar, ekki ritilblaðið. Staðfestu að vænta færslan sé til staðar, sé virk fyrir upphafshegðunina sem þú ætlar og hafi verið hlaðin eftir síðustu breytingu þína. Vistuð skrá sem er ekki endurhlaðin er algengasta orsök setningarinnar „ég lagaði það og ekkert breyttist“.

Staðfestu líka hvaða skrá þjónustan les. Dreifingar eru mismunandi og tenging sem skrifuð er í rangt include er hunsuð þegjandi í stað þess að vera hafnað. Ef stöðulistinn sýnir færsluna þína alls ekki, grunaðu slóð includesins áður en þú grunar setningafræðina.

Annar svæðahópur: endapunktar eru ekki auðkenni

Vistfangið sem jafninginn tengist frá og auðkennið sem hann auðkennir sig með eru aðskilin svæði. Hýsitölva, greinandi nafn, lykilauðkenni og vistfang geta öll þjónað sem IKE-auðkenni eftir stillingum, og þau þurfa alls ekki að líkjast almenna vistfanginu.

Samsvörun endapunkta getur líka falið í sér NAT-sýn: vistfangið sem sést á netinu getur verið frábrugðið vistfanginu sem jafninginn telur sig hafa. Í tengingarlíkani libreswan eru left og right merkingar fyrir tvo þátttakendur en ekki föst röð staðbundins og fjarlægs, og þess vegna er afritun virkrar stillingar frá öðrum stað með víxluðum vistföngum ekki áreiðanleg þýðing.

Skrifaðu niður vænt auðkenni beggja hliða og skírteinið sem staðfestir það. Ef þessar tvær línur stemma ekki mun engin stilling vistfanga skila samsvörun.

Þriðji svæðahópur: umferðin sem er vernduð

Valararnir lýsa innri sviðum uppruna og áfangastaðar, vistfangafjölskyldu þeirra og hvers kyns takmörkun á samskiptareglum eða porti. Tillaga fyrir vistfang eins hýsis er ekki sama beiðni og fyrir heilt undirnet, og svarandi sem er stilltur fyrir undirnetið getur hafnað henni eða þrengt hana.

Þegar endarnir tveir stemma ekki, berðu saman fyrirhugað flæði frá báðum sjónarhornum í stað þess að víkka hvern valara svo eitthvað tengist. Spurðu hvern stjórnanda hvaða flæði hann telur sig vernda og berðu síðan saman svörin tvö. Ósamræmið er yfirleitt forskeyti hýsis á annarri hlið og undirnet á hinni. Göng sem passa vegna þess að þau vernda nú allt eru önnur öryggisákvörðun, og sú sem enginn samþykkti.

Fjórði svæðahópur: þú ert að lesa eina útfærslu

Libreswan, eldri Openswan og strongSwan hafa mismunandi stjórnunartæki, mismunandi stillingarflæði og mismunandi samsvörunarröð. Virkt dæmi frá einum segir ekkert nákvæmt um forgang prófílvals eða villuskilaboð annars, svo staðfestu með skjölun daemonsins á þessari hýsitölvu.

Tengdu eina tilraun frá upphafi til enda: upprunavistfang frumkvæðisaðilans, boðið auðkenni og tillögðu valarana — við valskilaboð svarandans og hlaðnu færsluna sem hann nefnir. Núllteljarar fyrir umbúðir og afumbúðir segja aðeins að tengingarnar sem sáust hafi ekki borið þessa pakka; þeir nefna ekki endapunktinn sem hafnaði tillögunni og sanna ekki að samsvarandi færsla hafi verið til á þeirri stundu.

Eftir samræmda leiðréttingu skaltu staðfesta valinn prófíl og tengingu og prófa síðan þjónustuna sem er í raun leyfð og svarleið hennar. Prófílsamsvörun gerir samtal mögulegt og samtal er ekki síðasta aðgangsathugunin.