Að ná til IKEv2-biðlara á úthlutuðu færanlegu IP hans

Gátt þarf að hefja tengingu við fartölvu sem er tengd henni um IKEv2, með því að nota úthlutað færanlegt vistfang þess biðlara. Göngin eru uppi, biðlarinn nær öllu bak við gáttina, og öfuga áttin mistekst samt. Þessi ósamhverfa er eðlileg: samræmda stefnan lýsir því hvaða vistföng mega tala, ekki hvor hliðin má hefja. Þrír hlutir verða að fara saman áður en beiðni sem gáttin hefur frumkvæði að virkar.

Göngin laga uppsprettuvistfangið ekki

CHILD SA nær yfir par af umferðarvalara, einn á hvorri hlið, og leyfir umferð í báðar áttir þess pars. Hún segir ekkert um hvor jafninginn opnaði IKE-skiptin fyrst. Gátt sem upphaflega hlustaði eftir göngunum getur enn sent fyrsta forritapakkann, að því tilskildu að valin uppspretta og áfangastaður falli innan uppsettu valaranna. Þegar beiðnin fer út um ranga tengið er hún einfaldlega ekki hæf fyrir göngin.

Leiðsögn að biðlaranum er nauðsynleg og ekki nægjanleg. Stefnan verður að leyfa uppsprettuna sem þú notaðir í raun.

Lestu uppsettu stefnuna, ekki stillingarskrána

Byrjaðu á virka samtenginu og valurum þess, því kraftstýrð úthlutun breytir því sem er uppsett í kjarnanum.

ipsec statusall
ip xfrm policy

Stöðuúttakið nefnir tenginguna, úthlutað færanlegt vistfang og þá valara sem gilda nú fyrir þann jafning. Stefnuúttakið sýnir sömu valara sem kjarnastöðu, og það er það sem pakkavalið leitar í raun til. Berðu valarann á gáttarhliðinni saman við uppsprettuna sem forritið þitt mun nota, því misræmi skýrir mistökin strax. Lestu núverandi vistfang biðlarans frekar en eitt úr fyrri lotu, því endurúthlutað VIP gerir gömlu stefnuna ógilda.

Biðlarinn verður að hlusta þar sem pakkinn berst

Jafnvel fullkomin stefna nær lokuðum porti þegar þjónustan bindst aðeins við loopback. Hlustarinn verður að vera á úthlutuðu vistfanginu eða á staðbundnu algildisvistfangi.

ss -ltnp 'sport = :9090'
iptables -S INPUT

Sokkalistinn sýnir hvort portið er bundið við færanlega vistfangið, og reglur eldveggjarins sýna hvort nýjar tengingar eru samþykktar frá hinu varðaða uppsprettu. Regla sem er skrifuð fyrir komnar tengingar hleypir ekki tengingu sem gáttin hefur frumkvæði að. Haltu eigin auðkenningu þjónustunnar, því koma um göngin staðfestir aðeins frá hvaða neti pakkinn kom. Biðlari bak við sitt eigið NAT þarf enn ekki á innkomandi portfærslu að halda, því þessar beiðnir ferðast innan núverandi ganga.

Prófaðu nýju áttina eina sér

Virk beiðni frá biðlara til netþjóns prófar aldrei þessa leið. Búðu til beiðnina frá gáttinni og fylgstu með báðum endum.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

Leiðarleitin svarar því hvaða uppsprettu og tengi gáttin myndi nota, og það er gildið sem stefnan verður að leyfa. Upptakan ætti að sýna beiðnina fara út inni í ESP frekar en sem venjulegt TCP á opinberu tenginu. Á biðlaranum skaltu taka upp afkóðaða umferð til að staðfesta komuna og hvort þjónustan svaraði. Ef beiðnin hverfur án ESP á línunni skaltu gruna uppsprettuvistfangið áður en eldveggur biðlarans kemur við sögu.

Endurtaktu prófið eftir lyklaskipti eða endurtengingu, því VIP getur breyst. Leið sem virkar aðeins þar til næsta lota hefst er ekki virk leið.