შემომავალი IPsec პარტნიორი არც ერთ პროფილს არ ემთხვევა? შეამოწმეთ ოთხი ველი

თქვენი პარტნიორი იუწყება, რომ გვირაბი აწეულია, თქვენი მხარე არ აჩვენებს არც ერთ უსაფრთხოების ასოციაციას, ხოლო კონფიგურაციის ფაილი ცხადად შეიცავს შესაბამის კავშირის სახელს. სამივე განცხადება ერთდროულად შეიძლება იყოს ჭეშმარიტი. შემომავალი მოლაპარაკება შედარებულია გაშვებულ კონფიგურაციასთან, პარტნიორის მისამართის, მის მიერ წარდგენილი იდენტობისა და მის მიერ შემოთავაზებული ტრაფიკის მიხედვით. დისკზე დარჩენილი, არასოდეს ჩატვირთული ფაილი, მოსალოდნელ მნიშვნელობასთან შეუთავსებელი იდენტობა, ან ერთი პრეფიქსით გადახრილი სელექტორთა წყვილი — თითოეული მათგანი სიჩუმეს ქმნის. გაიარეთ ოთხი ველის ჯგუფი იმ თანმიმდევრობით, რომლითაც მიდის მოპასუხე.

დაიწყეთ პაკეტიდან და არა ფაილიდან

მოპასუხე იღებს IKE მოთხოვნას, ეძებს განსაზღვრებას, რომელსაც შეუძლია ამ პარტნიორის მიღება, შემდეგ აგრძელებს ავთენტიფიკაციითა და ტრაფიკის შერჩევით. თუ პირველ საფეხურზე არც ერთი ჩატვირთული განსაზღვრება არ ემთხვევა, მოლაპარაკება მთავრდება მანამ, სანამ რაიმე სასარგებლო შეცდომა მომხმარებელს მიაღწევს.

ამიტომ „კონფიგურაცია სწორად გამოიყურება“ მტკიცებულება არ არის. საკითხავია, რა ჩატვირთა გაშვებულმა სერვისმა და რომელი ჩანაწერი აირჩია ამ მცდელობისთვის. სტატუსის სია ამას ერთი ბრძანებით პასუხობს, ხოლო რედაქტორის ბუფერი სხვა კითხვას პასუხობს. შეამოწმეთ სია ფაილის კვლავ შეცვლამდე.

პირველი ველის ჯგუფი: განსაზღვრება, რომელიც ნამდვილად ჩატვირთულია

შეამოწმეთ გაშვებული მდგომარეობა დემონის მფლობელი ხელსაწყოთი: სტატუსის ბრძანება, რომელიც ჩატვირთულ კავშირებს ჩამოთვლის, და არა რედაქტორის ბუფერი. დაადასტურეთ, რომ მოსალოდნელი ჩანაწერი არსებობს, ჩართულია თქვენთვის სასურველი გაშვების ქცევისთვის და ჩაიტვირთა თქვენი ბოლო რედაქტირების შემდეგ. შენახული, მაგრამ ხელახლა არჩატვირთული ფაილი ყველაზე გავრცელებული მიზეზია ფრაზისა „გავასწორე და არაფერი შეიცვალა“.

ასევე დაადასტურეთ, რომელ ფაილს კითხულობს სერვისი. დისტრიბუტივები განსხვავდება და არასწორ ჩართვაში დაწერილი კავშირი ჩუმად იგნორირდება, უარყოფის ნაცვლად. თუ სტატუსის სია საერთოდ არ აჩვენებს თქვენს ჩანაწერს, ეჭვი შეიტანეთ ჩართვის გზაში სინტაქსამდე.

მეორე ველის ჯგუფი: ბოლო წერტილები იდენტობა არ არის

მისამართი, საიდანაც პარტნიორი უკავშირდება, და იდენტობა, რომლითაც ის ავთენტიფიცირდება, ცალკე ველებია. ჰოსტის სახელი, განმასხვავებელი სახელი, გასაღების იდენტიფიკატორი და მისამართი — ყველა მათგანი კონფიგურაციის მიხედვით IKE იდენტობად შეიძლება იქცეს და მათ საჯარო მისამართის მსგავსება საერთოდ არ მოეთხოვებათ.

ბოლო წერტილების შედარება შეიძლება მოიცავდეს NAT-ის ხედვასაც: ქსელში დანახული მისამართი შეიძლება განსხვავდებოდეს იმ მისამართისგან, რომელიც პარტნიორს, მისი აზრით, აქვს. libreswan-ის კავშირების მოდელში left და right ორი მონაწილის ეტიკეტია და არა ლოკალურისა და დისტანციურის ფიქსირებული რიგი, ამიტომ სხვა საიტის მუშა კონფიგურაციის კოპირება და მისამართების შეცვლა სანდო თარგმანი არ არის.

ჩაწერეთ ორივე მხარის მოსალოდნელი იდენტობა და ის რწმუნება, რომელიც მას ამოწმებს. თუ ეს ორი სტრიქონი არ ემთხვევა, მისამართების ვერც ერთი კორექტირება ვერ მოგცემთ დამთხვევას.

მესამე ველის ჯგუფი: დაცული ტრაფიკი

სელექტორები აღწერენ შიდა წყაროსა და დანიშნულების დიაპაზონებს, მათ მისამართების ოჯახს და პროტოკოლის ან პორტის ნებისმიერ შეზღუდვას. ერთი ჰოსტის მისამართისთვის შემოთავაზება არ არის იგივე მოთხოვნა, რაც მთელი ქვექსელისთვის, და ქვექსელზე კონფიგურირებულმა მოპასუხემ შეიძლება უარყოს ან შეავიწროოს ის.

როცა ორი ბოლო არ თანხმდება, შეადარეთ განზრახული ნაკადი ორივე თვალთახედვიდან, ნაცვლად იმისა, რომ ყოველი სელექტორი გააფართოვოთ რაღაცის დასაკავშირებლად. ჰკითხეთ თითოეულ ადმინისტრატორს, რომელი ნაკადის დაცვას ფიქრობს, შემდეგ შეადარეთ ორი პასუხი. შეუთავსებლობა ჩვეულებრივ ერთ მხარეს ჰოსტის პრეფიქსია, მეორეზე — ქვექსელი. გვირაბი, რომელიც ემთხვევა იმიტომ, რომ ახლა ყველაფერს იცავს, სხვა უსაფრთხოების გადაწყვეტილებაა და ისეთი, რომელიც არავის დაუმტკიცებია.

მეოთხე ველის ჯგუფი: თქვენ კითხულობთ ერთ იმპლემენტაციას

Libreswan-ს, ძველ Openswan-სა და strongSwan-ს განსხვავებული მართვის ხელსაწყოები, განსხვავებული კონფიგურაციის სინტაქსი და განსხვავებული შედარების რიგი აქვთ. ერთის მუშა მაგალითი არაფერს ამბობს ზუსტად მეორის პროფილის არჩევის პრიორიტეტზე ან შეცდომების ფორმულირებაზე, ამიტომ გადაამოწმეთ ამ ჰოსტის დემონის დოკუმენტაციით.

დააკავშირეთ ერთი მცდელობა თავიდან ბოლომდე: ინიციატორის წყაროს მისამართი, შემოთავაზებული იდენტობა და შემოთავაზებული სელექტორები — მოპასუხის არჩევის შეტყობინებისა და მის მიერ დასახელებული ჩატვირთული ჩანაწერის წინააღმდეგ. ნულოვანი ინკაფსულაციისა და დეკაფსულაციის მრიცხველები მხოლოდ ამბობენ, რომ დაკვირვებულმა ასოციაციებმა ეს პაკეტები არ გადაიტანეს; ისინი არ ასახელებენ იმ ბოლო წერტილს, რომელმაც შემოთავაზება უარყო, და არ ამტკიცებენ, რომ იმ მომენტში შესაბამისი ჩანაწერი არსებობდა.

შეთანხმებული შესწორების შემდეგ დაადასტურეთ არჩეული პროფილი და ასოციაცია, შემდეგ გამოსცადეთ რეალურად დაშვებული სერვისი და მისი პასუხის გზა. პროფილის დამთხვევა მოლაპარაკებას რთავს, და მოლაპარაკება ბოლო წვდომის შემოწმება არ არის.