MAC-ის შეუსაბამობა IKE-ში ნიშნავს, რომ საერთო გასაღების შემოწმება ვერ მოხერხდა

თქვენი Cloud VPN-ის ჟურნალი აჩვენებს საერთო გასაღების ცდას, რასაც მოჰყვება MAC mismatched, და პირველი იმპულსი ხშირად მისამართის პრობლემის ძებნაა. ამ განშტოებაში MAC შეტყობინების ავთენტიფიკაციის კოდია: მნიშვნელობა, რომელიც გამოითვლება შეთანხმებული გასაღებით გაცვლაზე. პარტნიორმა შეადარა საკუთარი გამოთვლა მიღებულ მნიშვნელობას და ისინი განსხვავდებოდა. აქ ქსელის ბარათი არ მონაწილეობს და არც ერთი ინტერფეისის პარამეტრი არ ცვლის ამ შედარებას.

პრაქტიკაში მას ორი პირობა წარმოშობს: ორი ბოლოს საიდუმლოები ერთი და იგივე მნიშვნელობა არ არის, ან საიდუმლოს ასარჩევად გამოყენებული იდენტობები არ შეესაბამება ერთმანეთს. გადაწყვიტეთ რომელია, წყვილის წაკითხვით და არა ერთი გვირაბის.

რას ამტკიცებს ეტაპი

შემოწმება ტარდება მას შემდეგ, რაც ორივე მხარემ გაცვალა საწყისი პარამეტრები და თავი იდენტიფიცირა. ის ირჩევს კანდიდატ საერთო გასაღებებს ლოკალური და დისტანციური იდენტობებისთვის და ცდილობს მიღებული ავთენტიფიკაციის მონაცემების დადასტურებას; როცა არცერთი არ დასტურდება, გამოდის დიაგნოსტიკა. ეს ძლიერი მტკიცებაა ავთენტიფიკაციაზე და სუსტი მიზეზზე, რადგან არ ამბობს, რომელი მხარეა არასწორი.

წინა წარმატება ამ შემოწმებაში არ გადადის. დასრულებული IKE_SA_INIT, ან NAT-ის აღმოჩენის დატვირთვა, რომელმაც მოსალოდნელი მნიშვნელობები დააბრუნა, ამტკიცებს, რომ პარტნიორებს შეუძლიათ საუბარი. ის არაფერს ამტკიცებს იმაზე, უზიარებენ თუ არა საიდუმლოს.

ორი კონფიგურაციის შეცდომა, ერთი შეტყობინება

პირველი საიდუმლოს რეალური შეუსაბამობაა და ჩვეულებრივ მიწოდების შემთხვევითობაა: გენერირებული მნიშვნელობა, დაყენებული ერთ კონსოლზე და ხელახლა აკრეფილი მეორეზე, ბოლო სიმბოლო, რომელიც ერთ მხარეს გადარჩა, ან ბრჭყალები, რომლებიც ჩასმას მოჰყვა. მეორე იდენტობის შეუსაბამობაა, სადაც საიდუმლო სწორია, მაგრამ პარტნიორის წარმოდგენილი იდენტობა სხვა ჩანაწერს ირჩევს, ამიტომ სწორი საიდუმლო არასოდეს იცდება. ორივე ერთსა და იმავე სტრიქონს იძლევა, ამიტომ გამოცნობა ნახევარ დღეს ღირს.

შეადარეთ წყვილი ნებისმიერ საიდუმლოს შეხებამდე. შეათანხმეთ გვირაბი, პარტნიორის ბოლო წერტილი, დროის ფანჯარა და დისტანციური კონფიგურაცია, რადგან ორ დუბლირებულ გვირაბს შეიძლება სხვადასხვა საიდუმლო ჰქონდეს და თქვენ წინა ეკრანი შეიძლება არ იყოს ის, რომელიც ვერ მოხერხდა.

NAT-ის აღმოჩენა სხვა ეტაპია

NAT-ის აღმოჩენა კითხულობს, როგორ გადაიწერება პაკეტები და არა ვინ არის პარტნიორი. NAT-ის უკან მდებარე კლიენტის კარიბჭე კვლავ სწორად ავთენტიფიცირდება, როცა მისი კონფიგურირებული იდენტობა არის ის, რასაც პარტნიორი ელოდება, და NAT-ის პრობლემა ჩნდება როგორც შეთავაზების ან პორტის შეუსაბამობა და არა როგორც წარუმატებელი ავთენტიფიკაციის შედარება.

ნუ გადაიტანთ ძველ განცხადებას ერთი მომწოდებლის გამოშვების შესახებ მიმდინარე განლაგებაში. რასაც NAT-ის გავლა მოითხოვს თქვენს გამოშვებაში, მის საკუთარ დოკუმენტაციას ეკუთვნის, და ფრაზა MAC mismatch არ არის მტკიცებულება არც მომხრე და არც წინააღმდეგ.

გადაწყვიტეთ წყვილიდან, არა ეკრანიდან

წაიკითხეთ ორივე კონფიგურაცია გვერდიგვერდ დაფარული საიდუმლოთი, შემდეგ დასვით სამი კითხვა. არის თუ არა თითოეული მხარის იდენტობა ზუსტად ის, რასაც მეორე ელოდება, სიმბოლო სიმბოლოდ? იყენებს თუ არა ორივე ბოლო ერთსა და იმავე IKE ვერსიას და ავთენტიფიკაციის მეთოდს? შეესაბამება თუ არა წარუმატებელი გვირაბი თქვენ მიერ წაკითხულ კონფიგურაციას? რომელიმეზე „არა“ განსაზღვრავს შეკეთებას საიდუმლოს შეხების გარეშე.

თუ სამივე სუფთაა, შეცვალეთ საიდუმლო დამტკიცებული სამუშაო პროცესით და არა მის გარშემო რედაქტირებით.

მას შემდეგ, რაც პარტნიორი ავთენტიფიცირდება

როგორც კი ავთენტიფიკაცია წარმატდება, შემდეგი მარცხის ზედაპირი შვილობილი უსაფრთხოების ასოციაციაა: შეთავაზებები და ტრაფიკის სელექტორები. უკვე მიღებული საიდუმლოს როტაცია ვერ გამოასწორებს შვილობილ მარცხს და ახანგრძლივებს შეწყვეტას. წაიკითხეთ შვილობილი მდგომარეობა, შემდეგ სელექტორები და დაცული დიაპაზონები ორივე მხარეს, და შეათანხმეთ Cloud VPN-ის პრობლემების მოგვარების სახელმძღვანელო იმ ეტაპს, რომელიც რეალურად ვერ მოხერხდა.

დააკავშირეთ ახალი ჟურნალები ორივე ბოლოდან იმავე წყვილისა და იმავე ფანჯრისთვის. ერთი მხარე მარტო განაჩენს დებს მეორის შეტანის გარეშე, და სწორედ ეს გაურკვევლობა შექმნა შეტყობინება თავიდან.

რა არ უნდა დავასკვნათ

ნუ წაიკითხავთ შეტყობინებას MAC მისამართების შეცვლის მოთხოვნად და ნუ გამოაქვეყნებთ საერთო საიდუმლოს დახმარების თხოვნისას; გასაღების შემცველ ამონაწერს გასაღები უნდა მოაშოროთ და არა ჟურნალი შეინარჩუნოთ. ნუ ივარაუდებთ მარშრუტიზაციის ხარვეზსაც, რადგან ერთმანეთს რომ ვერ აღწევენ, ისინი საერთოდ არ ქმნიან ავთენტიფიკაციის შედარებას. და ნუ განაზოგადებთ ერთი პროდუქტის ოჯახის დოკუმენტირებულ შეზღუდვას ყველა IPsec რეალიზაციაზე.

ჩაწერეთ წარუმატებელი წყვილი, გვირაბის მდგომარეობა მანამდე და შემდეგ, და რომელი ორი პირობიდან შეცვალეთ. ეს ჩანაწერი მომდევნო შემთხვევას ხუთწუთიან შემოწმებად აქცევს.