როცა IKEv2 აბრუნებს TS_UNACCEPTABLE-ს, შეადარეთ რეალური ქვექსელები

TS_UNACCEPTABLE წაიკითხეთ როგორც დაფარვაზე უთანხმოება, და არა როგორც დაზიანებული პროფილი. შესავალი ამბობს, რომ ორი მხარე ვერ შეთანხმდა, რომელი მისამართები შეიძლება ატაროს ამ გვირაბმა. IKE SA შეიძლება უკვე აწეული იყოს იმ მომენტში, ამიტომ კლიენტი შეიძლება დაკავშირებულად გამოიყურებოდეს მის უკან შვილობილი SA-ს გარეშე. როცა ასე ჩამოაყალიბებთ, სამუშაო მექანიკური ხდება. ჩაწერეთ ორივე მხარის განზრახული პრეფიქსები, შეადარეთ ისინი ერთი მიმართულებით და შეავიწროვეთ, სანამ არ გადაიკვეთება.

ჯერ ჩაწერეთ განზრახული წყვილები

კონფიგურაციაზე ხელის დაჭერამდე ჩამოთვალეთ ოთხი მნიშვნელობა: ინიციატორის წყაროს დიაპაზონი, მისი დანიშნულების დიაპაზონი და იგივე წყვილი პასუხისმგებელი მხარის თვალით. ჩაწერეთ თითოეულის მისამართების ოჯახიც. IPv4 დიაპაზონი და IPv6 დიაპაზონი სხვადასხვა ტიპის სელექტორია და არც ერთი ვერ ჩაიკეცება მეორის დატვირთვაში.

დაამატეთ ნებისმიერი პროტოკოლის ან პორტის შეზღუდვა, რომელსაც პოლიტიკა ატარებს. წესი, რომელიც მხოლოდ TCP 445-ს უშვებს ფაილურ სერვერთან, აღწერს უფრო ვიწრო სიმრავლეს, ვიდრე ქვექსელი, რომელშიც ის ზის. თუ ამას თქვენი ჩანაწერებიდან გამოტოვებთ, მოლაპარაკების შედეგი არათანმიმდევრულად გამოიყურება იმ მიზეზების გამო, რომლებსაც ვერ ხედავთ.

შეაბრუნეთ იარლიყები შედარებამდე

ლოკალური და დისტანციური ფარდობითი იარლიყებია. კლიენტის ლოკალური პრეფიქსი შესავლის დისტანციური დიაპაზონია, ხოლო შესავლის ლოკალური დიაპაზონი კლიენტის დისტანციურია. ამიტომ ორი ბოლოდან გადაღებული ეკრანის სურათები არასოდეს ემთხვევა, და მათი სიტყვასიტყვით შედარება შუადღის დაკარგვის ჩვეულებრივი გზაა.

პასუხისმგებელმა შეიძლება შეთავაზება შეავიწროვოს მისაღებ ქვესიმრავლემდე, უარის თქმის ნაცვლად. ეს შედეგი სუფთა მარცხზე უარესია, რადგან ნახევრად მუშაობს. მოითხოვეთ 10.0.0.0/16, როცა პოლიტიკა 10.0.5.0/24-ს უშვებს, და შეიძლება დარჩეთ შვილობილი SA-ით, რომელიც მხოლოდ იმ /24-ს ფარავს. ერთი ჰოსტი პასუხობს, ყველა დანარჩენი გარეთ რჩება და კლიენტში არაფერი ამბობს ამას. სანამ დაასკვნით, რომ მოლაპარაკება წარმატებული იყო, წაიკითხეთ მიღებული სელექტორები და არა მოთხოვნილი.

ნაგულისხმევ მარშრუტს მოთხოვნილი road warrior პროფილები აქ მუდმივად ხვდება. გაყოფილი წვდომისთვის აშენებული შესავალი სრული დიაპაზონის შეთავაზებას თავის ქვექსელებამდე ავიწროებს და კლიენტმა უნდა მიიღოს შევიწროებული შედეგი ან ხმამაღლა ჩავარდეს.

უარი წაიკითხეთ ერთი ცდიდან

შეაგროვეთ ორივე ჟურნალი ერთი და იმავე კავშირის ცდიდან. შენახული პროფილი გიჩვენებთ, რა დააყენეთ და არა რა იყო შემოთავაზებული, ხოლო strongSwan-ზე swanctl --log ბეჭდავს მიღებულ შეტყობინებას მის მიერ გატარებულ სელექტორებთან ერთად.

შემდეგ შეამოწმეთ, რა დამონტაჟდა რეალურად. swanctl --list-sas აჩვენებს შვილობილი SA-ს სელექტორებს, ხოლო ip xfrm policy იგივე დიაპაზონებს ბირთვის პოლიტიკის ჩანაწერებად. შვილობილი SA ამ სიაში იმ სელექტორებით, რომლებიც არ გინდოდათ, შევიწროების მოვლენაა; შვილობილი SA-ს არქონა და TS_UNACCEPTABLE ჟურნალში უარია.

სანამ იქ ხართ, გამოყავით ახლო მეზობლები. INVALID_SELECTORS ჩივის დამკვიდრებული შვილობილი SA-ს შიგნით არსებულ სელექტორზე, ხოლო INTERNAL_ADDRESS_FAILURE ნიშნავს, რომ პასუხისმგებელმა ვერ შეძლო ვირტუალური მისამართის გამოყოფა, რაც აუზის პრობლემაა და არა დაფარვის.

შეამოწმეთ, რა ამცირებს სიმრავლეს ჩუმად

სამი რამ ამცირებს სელექტორთა სიმრავლეს არაფრის თქმის გარეშე. პირველი პასუხისმგებლის პოლიტიკაა, ქვექსელების სიებით, ჯგუფური წესებით ან მომხმარებლის მიხედვით ავტორიზაციით, რომლებიც შეთავაზებას ქვესიმრავლემდე ამცირებს. მეორე მისამართების ოჯახია: ორმაგი დასტის კლიენტი ხშირად IPv6-ს სთავაზობს IPv4-ის გვერდით და უარს იღებს იმ დიაპაზონებზე, რომლებიც შესავალს არასოდეს დაუყენებია.

მესამე პროტოკოლისა და პორტის შეზღუდვებია. სადაც პოლიტიკა მხოლოდ TCP 445-ს უშვებს, შვილობილი SA შეიძლება ამოვიდეს, მაშინ როცა ICMP და UDP მის გარეთ რჩება, და მომხმარებელი გატეხილ გვირაბს იტყობინებს, თუმცა მხოლოდ ერთი პროტოკოლი იყო დაშვებული.

ამიტომ მხოლოდ მისამართების გაფართოება ვერ გაასწორებს პორტით შეზღუდულ პოლიტიკას, და სწორედ ეს შემთხვევა გადარჩება ყველაზე სავარაუდოდ უცვლელად ხარვეზების ძიების სამი რაუნდის შემდეგ.

დაამტკიცეთ დაფარვა შესაფერისი ტრაფიკით

შვილობილი SA-ს დაყენების შემდეგ გაგზავნეთ ერთი მოთხოვნა, რომელიც ნამდვილად ხვდება მიღებული დიაპაზონების შიგნით. უყურეთ მრიცხველებს და არა სტატუსის ხატულას: ip -s xfrm state და ip xfrm policy-ის უკან არსებული მრიცხველები იზრდება, როცა პაკეტი შეესაბამება და დაცულია. ბაიტების რაოდენობა, რომელიც რეალური ტრაფიკის შემდეგ ნულზე რჩება, ნიშნავს, რომ ბირთვმა ეს პოლიტიკა არასოდეს არ არჩია.

ეს ნული მარშრუტიზაციის ან პოლიტიკის რიგის პრობლემაა და არა კრიპტოს. მომხმარებლის ადგილიდან ის ზუსტად სელექტორის უარს ჰგავს, ამიტომ ღირს მრიცხველების შეგროვება პროფილის ხელახლა გახსნამდე. მრიცხველები, რომლებიც მხოლოდ ერთი მიმართულებით იზრდება, სამაგიეროდ დაბრუნების გზაზე მიუთითებს.

დაასრულეთ მიღებული წყვილის ბილეთში ჩაწერით, თავდაპირველად მოთხოვნილი დიაპაზონის გვერდით. შეინარჩუნეთ არჩევანი მოთხოვნის შესაბამისად ვიწრო, რადგან შეცდომის მოცილება კერძო დიაპაზონის ყველა მისამართით ჩანაცვლებით იძლევა გაცილებით მეტ წვდომას, ვიდრე ანგარიშისთვის დამტკიცდა.