IPsec профиліндегі бес мекенжай рөлі және оның қайсысы қате
Соңғы нүкте, сәйкестік, қорғалған ішкі желі, шлюз көзі және келесі секіріс — әрқайсысы басқа сұраққа жауап береді. Алдымен симптомды өріспен сәйкестендіріңіз.
Типтік қосылым анықтамасында бес түрлі жұмыс мекенжай алады және олар бір-бірімен міндетті түрде сәйкесуі керек емес. Әкімшілер тұрып қалады, өйткені ақылға қонымды инстинкт, яғни барлық өрісті бір хостқа бағыттау, олардың кемінде үшеуі үшін қате. Шығар жол — алдымен симптомды атап, содан кейін оны тудыруы мүмкін бір немесе екі өрісті қарау.
Бес жұмыс, маңыздылық ретімен
Тасымалдау соңғы нүктесі — IKE алмасуы жеткізілетін орын. Аутентификацияланған сәйкестік — әр тарап дәлелдейтін атау, және ол маршруттау кестесіне емес, саясатқа қарсы тексеріледі. Қорғалған ішкі желілер — қай ішкі трафиктің туннельге жататынын шешетін селекторлар. Содан кейін шлюздің өзі әңгіме бастағанда қолданылатын көз, және соңында серіктеске жету үшін төменгі қабаттың келесі секірісі.
left және right сияқты қатысушы белгілері қосылымның екі жағы үшін конвенциялар, жергілікті мен қашықтағының синонимдері емес. Кілттің басқа өнім оған салған мағынаны білдіреді деп есептемес бұрын нақты орнатылған іске асырудың нұсқаулығын оқыңыз.
| Job | Typical key | What fails when it is wrong |
|---|---|---|
| Transport endpoint | left, right | No IKE exchange at all |
| Authenticated identity | leftid, rightid | Exchange starts, peer rejects it |
| Protected subnets | leftsubnet, rightsubnet | Tunnel up, traffic not selected |
| Gateway source | leftsourceip, rightsourceip | Only gateway-originated flows fail |
| Underlay next hop | leftnexthop, rightnexthop | Peer unreachable from this host only |
Бірінші шешім: ештеңе орнықпайды
Журналдарда алмасу мүлдем көрінбесе, соңғы нүкте — бірінші күдікті: қате мекенжай, сүзілген жол немесе демон тыңдамайтын интерфейс. Сәйкестік өрістеріне қол алысу көрінгеннен кейін ғана өтіңіз, өйткені сәйкестік алмасудың ішінде бағаланады, оның алдында емес. Сүзілген жол мен қате мекенжай клиент жағынан бірдей көрінеді, сондықтан бірдеңені өңдеу алдында тыңдайтын жақты тексеріңіз. Демонның күткен интерфейске байланғанын растаңыз, өйткені бір мекенжайда тыңдайтын қызмет дәл бұғатталған жол сияқты көрінеді.
Аударма арқылы байқалған жария мекенжай серіктестің дәлелдейтін сәйкестігімен бірдей нәрсе емес. Мекенжайды алыс жақтағы пакет түсірілімі көрсететінге сәйкестендіру үшін өзгерту — жиі кездесетін және қате түзету.
Екінші шешім: туннель тұр, ал трафик өледі
Селекторлар туннельге не кіретінін шешеді, және мұндағы сәйкессіздік келіссөзді сәтті жүргізетін, бірақ қолданба әлі де құлайтын қосылым тудырады. Алыс жақ сіздің қорғалған ауқымыңызды өзінің қашықтағы ауқымы ретінде атауы керек, және дәл сол жерде төңкерілген мәндер сыналап кіреді.
Өңдеу алдында екі конфигурацияны қатар оқыңыз. Бір хосттағы жергілікті ауқым — екіншісіндегі қашықтағы ауқым, және бір ғана ауыстырылған жұп ештеңе тасымайтын туннельді түсіндіреді. Кілттерге тимес бұрын жұпты тарылтыңыз: туннельдің ішінде бір ішкі желі және сыртында бір — селектор ма, әлде маршруттау ма, кінәлі екенін айтады.
Үшінші шешім: тек шлюздің өз трафигі құлайды
Клиенттер үшін жіберілетін трафик мінсіз жұмыс істеуі мүмкін, ал шлюздің өзі бастаған сұраныс құлайды, өйткені бұл ағында мұрагерлік ететін клиент көзі жоқ. Артық көретін көз параметрі дәл осы жағдай үшін бар және ол көзді аудару емес: ол көз мекенжайын қайта жазу орнына таңдайды.
Басқа мекенжайды анық байланыстыратын қолданба артықшылықтан асып түсуі мүмкін, сондықтан параметр елемейді деп қорытындыламас бұрын пакеттің нақты көзін растаңыз. Конфигурацияның ниетіне сену орнына шлюздің өз интерфейсінде түсіріңіз.
Келесі секіріс — жергілікті нұсқау
Төменгі қабаттың келесі секірісі бұл хостқа серіктеске қалай жетуді айтады, ал алыс жаққа сол мән қажет емес. Оны ортақ параметр ретінде қарау немесе әдепкі шлюзді қатты кодтау — маршрут өзгерген немесе екінші жол пайда болған сәтте бұзылады.
Кейбір іске асырулар мұнда арнайы мәндер ұсынады. Нұсқаулық орнатылған нұсқа үшін тізіп берген нәрсе — жалғыз қауіпсіз жауап, ал жергілікті маршруттау кестесі оның жұмыс істегенін дәлелдейді. Серіктеске атымен жетуге болатын, бірақ мекенжайымен болмайтын кезде, сол сәйкессіздік — табылған дүние, айналып өтетін ұсақ-түйек емес.
Профильді екі шетінен оқыңыз
Рөлдерді қағазда аудару — ең жылдам шолу: қорғалған ауқымдарды ауыстырыңыз, әр жақтың өз келесі секірісін және әр жақтың өз сәйкестігін сақтаңыз. Ауыстыруға шыдамайтын нәрсе, сірә, қате жұмысқа тағайындалған.
Содан кейін әр рөл үшін бір ағынды сынаңыз: серіктестер арасындағы қолжетімділік, ішкі клиент ағыны және шлюзден шыққан сұраныс. Үш сынақ конфигурацияны қайта ашпай-ақ қай жұмыстың қате тағайындалғанын айтады. Нәтижені өзгерткен өрісіңіздің қасында билетке қосыңыз, өйткені келесі инженер сол профильді кездестіреді.