IKEv2 TS_UNACCEPTABLE қайтарғанда, нақты ішкі желілерді салыстырыңыз

TS_UNACCEPTABLE мәнін бүлінген профиль ретінде емес, қамту туралы келіспеушілік ретінде оқыңыз. Шлюз екі тараптың бұл туннель қандай мекенжайларды тасымалдай алатыны туралы келісе алмағанын айтып тұр. Сол сәтте IKE SA әлдеқашан көтерілген болуы мүмкін, сондықтан клиент артында ешқандай бала SA жоқ болса да қосылған болып көрінуі мүмкін. Осылайша қалыптастырсаңыз, жұмыс механикалық болады. Екі жақтың ниет еткен префикстерін жазып алыңыз, оларды бір бағытта салыстырыңыз және қиылысқанша тарылтыңыз.

Алдымен ниет етілген жұптарды жазыңыз

Конфигурацияға қол тигізбес бұрын төрт мәнді тізіп шығыңыз: бастаушының бастау ауқымы, оның межелі ауқымы және сол жұптың жауап беруші жағынан көрінісі. Әрқайсысының мекенжай тобын да жазыңыз. IPv4 ауқымы мен IPv6 ауқымы — әртүрлі селектор түрлері, және ешқайсысын екіншісінің пайдалы жүктемесіне бүктеуге болмайды.

Саясат көтеріп жүрген кез келген хаттама немесе порт шектеуін қосыңыз. Файл серверіне тек TCP 445 рұқсат ететін ереже, ол отырған ішкі желіден тар жиынды сипаттайды. Мұны жазбаларыңыздан тыс қалдырсаңыз, келіссөз нәтижесі өзіңіз көрмейтін себептермен үйлесімсіз көрінеді.

Салыстыру алдында белгілерді кері айналдырыңыз

Жергілікті және қашықтағы — салыстырмалы белгілер. Клиенттің жергілікті префиксі — шлюздің қашықтағы ауқымы, ал шлюздің жергілікті ауқымы — клиенттің қашықтағы ауқымы. Сондықтан екі шеттен жасалған скриншоттар ешқашан сәйкес келмейді, және оларды сөзбе-сөз салыстыру түстен кейінгі уақытты жоғалтудың әдеттегі жолы.

Жауап беруші ұсынысты қабылдамай, оны қолайлы ішкі жиынға дейін тарылтуы мүмкін. Бұл нәтиже таза сәтсіздіктен нашар, өйткені ол жартылай жұмыс істейді. Саясат 10.0.5.0/24 рұқсат еткенде 10.0.0.0/16 сұрасаңыз, тек сол /24-ті қамтитын бала SA-мен аяқталуыңыз мүмкін. Бір хост жауап береді, қалғанының бәрі сыртта қалады, және клиентте ештеңе бұны айтпайды. Келіссөз табысты болды деп қорытынды жасамас бұрын сұралғандарды емес, қабылданған селекторларды оқыңыз.

Әдепкі маршрутты сұрайтын road warrior профильдері осында үнемі келіп жатады. Бөлінген қатынас үшін құрылған шлюз толық ауқымды ұсынысты өз ішкі желілеріне тарылтады, ал клиент тарылтылған нәтижені қабылдауы немесе қатты дауыспен сәтсіздікке ұшырауы керек.

Бас тартуды бір әрекеттен оқыңыз

Бір байланыс әрекетінен екі журналды да жинаңыз. Сақталған профиль нені баптағаныңызды көрсетеді, нені ұсынғанын емес, ал strongSwan-да swanctl --log алынған хабарламаны өзі алып жүрген селекторлармен бірге шығарады.

Содан кейін шын мәнінде не орнатылғанын тексеріңіз. swanctl --list-sas бала SA-ның селекторларын көрсетеді, ал ip xfrm policy сол ауқымдарды ядро саясатының жазбалары ретінде көрсетеді. Сол тізімде ниет етпеген селекторлары бар бала SA — тарылту оқиғасы; журналда бала SA жоқ және TS_UNACCEPTABLE болса — бас тарту.

Сол жерде отырып, жақын көршілерді ажыратыңыз. INVALID_SELECTORS орныққан бала SA ішіндегі селекторға шағымданады, ал INTERNAL_ADDRESS_FAILURE жауап берушінің виртуалды мекенжай бөле алмағанын білдіреді, бұл қамту емес, пул мәселесі.

Жиынды үнсіз не кішірейтетінін тексеріңіз

Үш нәрсе селектор жиынын ештеңе демей-ақ кішірейтеді. Біріншісі — жауап беруші саясаты: ішкі желі тізімдері, топ ережелері немесе пайдаланушы бойынша авторландыру ұсынысты ішкі жиынға дейін азайтады. Екіншісі — мекенжай тобы: қос стекті клиент көбіне IPv4-пен қатар IPv6 ұсынады және шлюз ешқашан баптамаған ауқымдар үшін бас тарту алады.

Үшіншісі — хаттама мен порт шектеулері. Саясат тек TCP 445 рұқсат еткенде, ICMP мен UDP оның сыртында қалған күйде бала SA көтерілуі мүмкін, ал пайдаланушы тек бір хаттама рұқсат етілген болса да туннель бұзылды деп хабарлайды.

Сондықтан тек мекенжайларды кеңейту портпен шектелген саясатты түзете алмайды, және дәл осы жағдай үш айналым ақаулықты жоюдан кейін өзгеріссіз қалуы ықтимал.

Сәйкес келетін трафикпен қамтуды дәлелдеңіз

Бала SA орнатылғаннан кейін қабылданған ауқымдардың ішіне сөзсіз түсетін бір сұраныс жіберіңіз. Күй белгішесінің орнына есептегіштерді қараңыз: ip -s xfrm state және ip xfrm policy артындағы есептегіштер пакет сәйкестеніп, қорғалғанда өседі. Нақты трафиктен кейін нөлде қалатын байт саны ядро сол саясатты ешқашан таңдамағанын білдіреді.

Бұл нөл — маршруттау немесе саясат ретінің мәселесі, крипто мәселесі емес. Ол пайдаланушының орнынан селектордан бас тартуға дәл ұқсайды, сондықтан профильді қайта ашпас бұрын есептегіштерді жинаған жөн. Тек бір бағытта өсетін есептегіштер керісінше қайтару жолын нұсқайды.

Қабылданған жұпты билетке, әуелде сұралған ауқымның жанына жазып аяқтаңыз. Таңдауды талапқа сай тар ұстаңыз, өйткені жеке ауқымды барлық мекенжаймен ауыстырып қатені жою тіркелгіге бекітілгеннен әлдеқайда көп қатынас береді.