Кіріс IPsec серіктесі ешбір профильге сәйкес келмей ме? Төрт өрісті тексеріңіз

Серіктесіңіз туннель көтерілгенін хабарлайды, сіздің жағыңыз ешбір қауіпсіздік ассоциациясын көрсетпейді, ал конфигурация файлында сәйкес қосылым атауы анық бар. Бұл үш тұжырым бір уақытта ақиқат болуы мүмкін. Кіріс келіссөз жұмыс істеп тұрған конфигурациямен салыстырылады, серіктестің мекенжайы, оның ұсынған сәйкестігі және ұсынған трафигі бойынша. Дискіде қалып қойған, ешқашан жүктелмеген файл, күтілетін мәнге сәйкес келмейтін сәйкестік немесе бір префикске ауытқыған селектор жұбы — әрқайсысы үнсіздік тудырады. Төрт өріс тобын жауап беруші жүретін ретпен өтіңіз.

Файлдан емес, пакеттен бастаңыз

Жауап беруші IKE сұранысын алады, осы серіктесті қабылдай алатын анықтаманы іздейді, содан кейін аутентификация мен трафик таңдауына көшеді. Егер бірінші қадамда бірде-бір жүктелген анықтама сәйкес келмесе, келіссөз пайдалы қате пайдаланушыға жетпей тұрып аяқталады.

Сондықтан «конфигурация дұрыс көрінеді» дәлел емес. Мәселе — жұмыс істеп тұрған қызмет нені жүктегенін және бұл әрекетке қай жазбаны таңдағанын анықтауда. Күй тізімі мұның жауабын бір командамен береді, ал редактор буфері басқа сұраққа жауап береді. Файлды қайта өзгертуден бұрын тізімді тексеріңіз.

Бірінші өріс тобы: шынымен жүктелген анықтама

Жұмыс істеп тұрған күйді демонға ие құралмен тексеріңіз: жүктелген қосылымдарды тізіп шығаратын күй командасы, редактор буфері емес. Күтілетін жазбаның барын, сіз қалаған іске қосу тәртібі үшін қосылғанын және соңғы өзгертулеріңізден кейін жүктелгенін растаңыз. Сақталған, бірақ қайта жүктелмеген файл «түзедім, бірақ ештеңе өзгермеді» деген сөздің ең көп кездесетін себебі.

Қызмет қай файлды оқитынын да растаңыз. Дистрибутивтер әртүрлі, ал қате қосуға жазылған қосылым қабылданбай, үнсіз елемей қойылады. Егер күй тізімі жазбаңызды мүлде көрсетпесе, синтаксистен бұрын қосу жолынан күдіктеніңіз.

Екінші өріс тобы: шеткі нүктелер сәйкестік емес

Серіктес қосылатын мекенжай мен ол аутентификация жасайтын сәйкестік — жеке өрістер. Хост атауы, ерекшеленген атау, кілт идентификаторы және мекенжай конфигурацияға қарай IKE сәйкестігі бола алады және олардың жалпыға ортақ мекенжайға ұқсауы мүлде міндетті емес.

Шеткі нүктелерді сәйкестендіру NAT көрінісін де қамтуы мүмкін: желіде көрінетін мекенжай серіктес өзінде бар деп ойлайтын мекенжайдан өзгеше болуы ықтимал. libreswan қосылым моделінде left және right екі қатысушының белгісі, ал жергілікті мен қашықтағының қатаң реті емес, сондықтан жұмыс істейтін конфигурацияны басқа алаңнан көшіріп, мекенжайларды алмастыру сенімді аударма емес.

Екі жақтың күтілетін сәйкестігін және оны растайтын куәлікті жазып алыңыз. Осы екі жол сәйкес келмесе, мекенжайларды қанша реттесеңіз де сәйкестік шықпайды.

Үшінші өріс тобы: қорғалатын трафик

Селекторлар ішкі дереккөз бен межелі мекенжай ауқымдарын, олардың мекенжай тұқымдасын және кез келген протокол мен порт шектеуін сипаттайды. Бір хост мекенжайына арналған ұсыныс бүкіл қосымша желіге арналған сұраныспен бірдей емес, ал қосымша желіге бапталған жауап беруші оны қабылдамауы немесе тарылтуы мүмкін.

Екі шет сәйкес келмесе, бірдеңе қосылуы үшін әр селекторды кеңейтудің орнына ниет етілген ағынды екі көзқарас тұрғысынан салыстырыңыз. Әр әкімшіден өзі қорғаймын деп есептейтін ағынын сұрап, содан кейін екі жауапты салыстырыңыз. Сәйкессіздік әдетте бір жақта хост префиксі, екіншісінде қосымша желі. Енді бәрін қорғайтындықтан сәйкес келетін туннель — басқа қауіпсіздік шешімі және оны ешкім бекітпеген.

Төртінші өріс тобы: сіз бір іске асырылымды оқып отырсыз

Libreswan, ескі Openswan және strongSwan басқару құралдары, конфигурация синтаксисі және сәйкестендіру реті бойынша өзгеше. Біреуінің жұмыс істейтін мысалы екіншісінің профиль таңдау басымдығы немесе қате тұжырымы туралы нақты ештеңе айтпайды, сондықтан осы хосттағы демонның құжаттамасымен тексеріңіз.

Бір әрекетті басынан аяғына дейін байланыстырыңыз: бастаушының дереккөз мекенжайы, ұсынылған сәйкестік және ұсынылған селекторлар — жауап берушінің таңдау хабарламасымен және ол атаған жүктелген жазбамен салыстырып. Нөлдік инкапсуляция және декапсуляция санағыштары байқалған ассоциациялардың бұл пакеттерді тасымалдамағанын ғана айтады; олар ұсынысты қабылдамаған шеткі нүктені атамайды және сол сәтте сәйкес жазба болғанын дәлелдемейді.

Келісілген түзетуден кейін таңдалған профиль мен ассоциацияны растаңыз, содан кейін нақты рұқсат етілген қызметті және оның жауап жолын сынап көріңіз. Профиль сәйкестігі келіссөзді мүмкін етеді, ал келіссөз — соңғы кіру тексерісі емес.