IKEv2 TS_UNACCEPTABLE ಹಿಂತಿರುಗಿಸಿದಾಗ, ನಿಜವಾದ ಸಬ್ನೆಟ್ಗಳನ್ನು ಹೋಲಿಸಿ

TS_UNACCEPTABLE ಅನ್ನು ಹಾಳಾದ ಪ್ರೊಫೈಲ್ ಎಂದಲ್ಲ, ಕವರೇಜ್ ಬಗೆಗಿನ ಒಮ್ಮತದ ಕೊರತೆ ಎಂದು ಓದಿ. ಈ ಸುರಂಗ ಯಾವ ವಿಳಾಸಗಳನ್ನು ಸಾಗಿಸಬಹುದು ಎಂಬುದರ ಬಗ್ಗೆ ಎರಡೂ ಬದಿಗಳು ಒಪ್ಪಿಕೊಳ್ಳಲಿಲ್ಲ ಎಂದು ಗೇಟ್ವೇ ಹೇಳುತ್ತದೆ. ಆ ಕ್ಷಣದಲ್ಲಿ IKE SA ಈಗಾಗಲೇ ಮೇಲಿರಬಹುದು, ಆದ್ದರಿಂದ ಕ್ಲೈಂಟ್ ಹಿಂದೆ ಯಾವುದೇ ಚೈಲ್ಡ್ SA ಇಲ್ಲದಿದ್ದರೂ ಸಂಪರ್ಕಗೊಂಡಂತೆ ಕಾಣಬಹುದು. ಹೀಗೆ ಚೌಕಟ್ಟು ಹಾಕಿದರೆ ಕೆಲಸ ಯಾಂತ್ರಿಕವಾಗುತ್ತದೆ. ಎರಡೂ ಬದಿಗಳ ಉದ್ದೇಶಿತ ಪ್ರಿಫಿಕ್ಸ್ಗಳನ್ನು ಬರೆಯಿರಿ, ಅವನ್ನು ಒಂದೇ ದಿಕ್ಕಿನಲ್ಲಿ ಹೋಲಿಸಿ, ಅವು ಛೇದಿಸುವವರೆಗೆ ಸಂಕುಚಿಸಿ.

ಮೊದಲು ಉದ್ದೇಶಿತ ಜೋಡಿಗಳನ್ನು ಬರೆಯಿರಿ

ಸಂರಚನೆಯನ್ನು ಮುಟ್ಟುವ ಮೊದಲು ನಾಲ್ಕು ಮೌಲ್ಯಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡಿ: ಆರಂಭಿಸುವವರ ಮೂಲ ಶ್ರೇಣಿ, ಅದರ ಗಮ್ಯ ಶ್ರೇಣಿ, ಮತ್ತು ಪ್ರತ್ಯುತ್ತರದಾರರ ಬದಿಯಿಂದ ಕಂಡ ಅದೇ ಜೋಡಿ. ಪ್ರತಿಯೊಂದರ ವಿಳಾಸ ಕುಟುಂಬವನ್ನೂ ದಾಖಲಿಸಿ. IPv4 ಶ್ರೇಣಿ ಮತ್ತು IPv6 ಶ್ರೇಣಿ ಬೇರೆ ಬೇರೆ ಆಯ್ಕೆದಾರ ಪ್ರಕಾರಗಳು, ಮತ್ತು ಒಂದನ್ನು ಇನ್ನೊಂದರ ಪೇಲೋಡ್ನಲ್ಲಿ ಮಡಚಲು ಸಾಧ್ಯವಿಲ್ಲ.

ನೀತಿ ಹೊತ್ತಿರುವ ಯಾವುದೇ ಪ್ರೋಟೋಕಾಲ್ ಅಥವಾ ಪೋರ್ಟ್ ನಿರ್ಬಂಧವನ್ನು ಸೇರಿಸಿ. ಫೈಲ್ ಸರ್ವರ್ಗೆ ಕೇವಲ TCP 445 ಅನ್ನು ಅನುಮತಿಸುವ ನಿಯಮ, ಅದು ಇರುವ ಸಬ್ನೆಟ್ಗಿಂತ ಕಿರಿದಾದ ಗುಂಪನ್ನು ವಿವರಿಸುತ್ತದೆ. ಇದನ್ನು ನಿಮ್ಮ ಟಿಪ್ಪಣಿಗಳಿಂದ ಹೊರಗಿಟ್ಟರೆ, ಮಾತುಕತೆಯ ಫಲಿತಾಂಶ ನೀವು ಕಾಣದ ಕಾರಣಗಳಿಂದ ಅಸಂಗತವಾಗಿ ಕಾಣುತ್ತದೆ.

ಹೋಲಿಸುವ ಮೊದಲು ಲೇಬಲ್ಗಳನ್ನು ತಿರುಗಿಸಿ

ಸ್ಥಳೀಯ ಮತ್ತು ದೂರದ ಸಾಪೇಕ್ಷ ಲೇಬಲ್ಗಳು. ಕ್ಲೈಂಟ್ನ ಸ್ಥಳೀಯ ಪ್ರಿಫಿಕ್ಸ್ ಗೇಟ್ವೇಯ ದೂರದ ಶ್ರೇಣಿ, ಮತ್ತು ಗೇಟ್ವೇಯ ಸ್ಥಳೀಯ ಶ್ರೇಣಿ ಕ್ಲೈಂಟ್ನ ದೂರದ ಶ್ರೇಣಿ. ಆದ್ದರಿಂದ ಎರಡೂ ತುದಿಗಳ ಸ್ಕ್ರೀನ್ಶಾಟ್ಗಳು ಎಂದಿಗೂ ಹೊಂದಿಕೆಯಾಗುವುದಿಲ್ಲ, ಮತ್ತು ಅವನ್ನು ಅಕ್ಷರಶಃ ಹೋಲಿಸುವುದು ಮಧ್ಯಾಹ್ನವನ್ನು ಕಳೆದುಕೊಳ್ಳುವ ಸಾಮಾನ್ಯ ದಾರಿ.

ಪ್ರತ್ಯುತ್ತರದಾರ ಪ್ರಸ್ತಾಪವನ್ನು ತಿರಸ್ಕರಿಸುವ ಬದಲು ಸ್ವೀಕಾರಾರ್ಹ ಉಪಗುಂಪಿಗೆ ಸಂಕುಚಿಸಬಹುದು. ಆ ಫಲಿತಾಂಶ ಸ್ವಚ್ಛ ವೈಫಲ್ಯಕ್ಕಿಂತ ಕೆಟ್ಟದು, ಏಕೆಂದರೆ ಅದು ಅರ್ಧ ಕೆಲಸ ಮಾಡುತ್ತದೆ. ನೀತಿ 10.0.5.0/24 ಅನ್ನು ಅನುಮತಿಸುವಾಗ 10.0.0.0/16 ಕೇಳಿದರೆ, ಆ /24 ಅನ್ನು ಮಾತ್ರ ಆವರಿಸುವ ಚೈಲ್ಡ್ SA ಜೊತೆ ಕೊನೆಗೊಳ್ಳಬಹುದು. ಒಂದು ಹೋಸ್ಟ್ ಉತ್ತರಿಸುತ್ತದೆ, ಉಳಿದದ್ದೆಲ್ಲ ಹೊರಗೆ ಬೀಳುತ್ತದೆ, ಮತ್ತು ಕ್ಲೈಂಟ್ನಲ್ಲಿ ಯಾವುದೂ ಅದನ್ನು ಹೇಳುವುದಿಲ್ಲ. ಮಾತುಕತೆ ಯಶಸ್ವಿಯಾಯಿತು ಎಂದು ತೀರ್ಮಾನಿಸುವ ಮೊದಲು ಕೇಳಿದ ಆಯ್ಕೆದಾರರಲ್ಲ, ಸ್ವೀಕರಿಸಿದ ಆಯ್ಕೆದಾರರನ್ನು ಓದಿ.

ಡೀಫಾಲ್ಟ್ ಮಾರ್ಗವನ್ನು ಕೇಳುವ ರೋಡ್-ವಾರಿಯರ್ ಪ್ರೊಫೈಲ್ಗಳು ಇಲ್ಲಿ ನಿರಂತರವಾಗಿ ಬೀಳುತ್ತವೆ. ವಿಭಜಿತ ಪ್ರವೇಶಕ್ಕಾಗಿ ನಿರ್ಮಿಸಿದ ಗೇಟ್ವೇ ಪೂರ್ಣ-ಶ್ರೇಣಿಯ ಪ್ರಸ್ತಾಪವನ್ನು ತನ್ನ ಸಬ್ನೆಟ್ಗಳಿಗೆ ಸಂಕುಚಿಸುತ್ತದೆ, ಮತ್ತು ಕ್ಲೈಂಟ್ ಸಂಕುಚಿತ ಫಲಿತಾಂಶವನ್ನು ಒಪ್ಪಬೇಕು ಅಥವಾ ಗಟ್ಟಿಯಾಗಿ ವಿಫಲವಾಗಬೇಕು.

ಒಂದೇ ಪ್ರಯತ್ನದಿಂದ ನಿರಾಕರಣೆಯನ್ನು ಓದಿ

ಒಂದೇ ಸಂಪರ್ಕ ಪ್ರಯತ್ನದ ಎರಡೂ ಲಾಗ್ಗಳನ್ನು ಸಂಗ್ರಹಿಸಿ. ಉಳಿಸಿದ ಪ್ರೊಫೈಲ್ ನೀವು ಏನನ್ನು ಸಂರಚಿಸಿದಿರಿ ಎಂದು ತೋರಿಸುತ್ತದೆ, ಏನನ್ನು ಪ್ರಸ್ತಾಪಿಸಲಾಯಿತು ಎಂದಲ್ಲ, ಮತ್ತು strongSwan ನಲ್ಲಿ swanctl --log ಸ್ವೀಕರಿಸಿದ ಅಧಿಸೂಚನೆಯನ್ನು ಅದು ಹೊತ್ತ ಆಯ್ಕೆದಾರರೊಂದಿಗೆ ಮುದ್ರಿಸುತ್ತದೆ.

ನಂತರ ವಾಸ್ತವವಾಗಿ ಏನು ಸ್ಥಾಪನೆಯಾಯಿತು ಎಂದು ಪರಿಶೀಲಿಸಿ. swanctl --list-sas ಚೈಲ್ಡ್ SA ಯ ಆಯ್ಕೆದಾರರನ್ನು ತೋರಿಸುತ್ತದೆ, ಮತ್ತು ip xfrm policy ಅದೇ ಶ್ರೇಣಿಗಳನ್ನು ಕರ್ನಲ್ ನೀತಿ ನಮೂದುಗಳಾಗಿ ತೋರಿಸುತ್ತದೆ. ಆ ಪಟ್ಟಿಯಲ್ಲಿ ನೀವು ಉದ್ದೇಶಿಸದ ಆಯ್ಕೆದಾರರಿರುವ ಚೈಲ್ಡ್ SA ಸಂಕುಚನ ಘಟನೆ; ಲಾಗ್ನಲ್ಲಿ ಚೈಲ್ಡ್ SA ಇಲ್ಲದೆ TS_UNACCEPTABLE ಇದ್ದರೆ ಅದು ನಿರಾಕರಣೆ.

ಅಲ್ಲಿರುವಾಗ ಹತ್ತಿರದ ನೆರೆಹೊರೆಯವರನ್ನು ಬೇರ್ಪಡಿಸಿ. INVALID_SELECTORS ಸ್ಥಾಪಿತ ಚೈಲ್ಡ್ SA ಒಳಗಿನ ಆಯ್ಕೆದಾರರ ಬಗ್ಗೆ ದೂರುತ್ತದೆ, ಆದರೆ INTERNAL_ADDRESS_FAILURE ಎಂದರೆ ಪ್ರತ್ಯುತ್ತರದಾರ ವರ್ಚುವಲ್ ವಿಳಾಸವನ್ನು ಹಂಚಲಾಗಲಿಲ್ಲ, ಇದು ಕವರೇಜ್ ಅಲ್ಲ, ಪೂಲ್ ಸಮಸ್ಯೆ.

ಗುಂಪನ್ನು ಮೌನವಾಗಿ ಏನು ಚಿಕ್ಕದಾಗಿಸುತ್ತದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ

ಮೂರು ವಿಷಯಗಳು ಏನನ್ನೂ ಹೇಳದೆ ಆಯ್ಕೆದಾರ ಗುಂಪನ್ನು ಚಿಕ್ಕದಾಗಿಸುತ್ತವೆ. ಮೊದಲನೆಯದು ಪ್ರತ್ಯುತ್ತರದಾರರ ನೀತಿ, ಸಬ್ನೆಟ್ ಪಟ್ಟಿಗಳು, ಗುಂಪು ನಿಯಮಗಳು ಅಥವಾ ಪ್ರತಿ-ಬಳಕೆದಾರ ಅಧಿಕಾರದ ಮೂಲಕ ಪ್ರಸ್ತಾಪವನ್ನು ಉಪಗುಂಪಿಗೆ ಇಳಿಸುತ್ತದೆ. ಎರಡನೆಯದು ವಿಳಾಸ ಕುಟುಂಬ: ದ್ವಿ-ಸ್ಟಾಕ್ ಕ್ಲೈಂಟ್ ಸಾಮಾನ್ಯವಾಗಿ IPv4 ಜೊತೆಗೆ IPv6 ಪ್ರಸ್ತಾಪಿಸುತ್ತದೆ ಮತ್ತು ಗೇಟ್ವೇ ಎಂದೂ ಸಂರಚಿಸದ ಶ್ರೇಣಿಗಳಿಗೆ ನಿರಾಕರಣೆ ಪಡೆಯುತ್ತದೆ.

ಮೂರನೆಯದು ಪ್ರೋಟೋಕಾಲ್ ಮತ್ತು ಪೋರ್ಟ್ ನಿರ್ಬಂಧಗಳು. ನೀತಿ ಕೇವಲ TCP 445 ಅನ್ನು ಅನುಮತಿಸುವಲ್ಲಿ, ICMP ಮತ್ತು UDP ಅದರ ಹೊರಗೆ ಉಳಿದಿರುವಂತೆಯೇ ಚೈಲ್ಡ್ SA ಮೇಲೇರಬಹುದು, ಮತ್ತು ಒಂದೇ ಪ್ರೋಟೋಕಾಲ್ ಮಾತ್ರ ಅನುಮತಿಸಲಾಗಿತ್ತು ಎಂಬಾಗಲೂ ಬಳಕೆದಾರ ಸುರಂಗ ಮುರಿದಿದೆ ಎಂದು ವರದಿ ಮಾಡುತ್ತಾನೆ.

ಆದ್ದರಿಂದ ಕೇವಲ ವಿಳಾಸಗಳನ್ನು ಅಗಲಿಸುವುದರಿಂದ ಪೋರ್ಟ್-ಸೀಮಿತ ನೀತಿಯನ್ನು ಸರಿಪಡಿಸಲು ಸಾಧ್ಯವಿಲ್ಲ, ಮತ್ತು ಇದೇ ಪ್ರಕರಣವು ಮೂರು ಸುತ್ತಿನ ಸಮಸ್ಯೆ ಪರಿಹಾರದ ನಂತರವೂ ಬದಲಾಗದೆ ಉಳಿಯುವ ಸಂಭವನೀಯತೆ ಹೆಚ್ಚು.

ಹೊಂದುವ ಸಂಚಾರದಿಂದ ಕವರೇಜ್ ಸಾಬೀತು ಮಾಡಿ

ಚೈಲ್ಡ್ SA ಸ್ಥಾಪನೆಯಾದ ನಂತರ, ಸ್ವೀಕೃತ ಶ್ರೇಣಿಗಳ ಒಳಗೆ ಖಚಿತವಾಗಿ ಬೀಳುವ ಒಂದು ವಿನಂತಿ ಕಳುಹಿಸಿ. ಸ್ಥಿತಿ ಚಿಹ್ನೆಯ ಬದಲು ಕೌಂಟರ್ಗಳನ್ನು ನೋಡಿ: ip -s xfrm state ಮತ್ತು ip xfrm policy ಹಿಂದಿನ ಕೌಂಟರ್ಗಳು ಪ್ಯಾಕೆಟ್ ಹೊಂದಿಕೆಯಾಗಿ ಸಂರಕ್ಷಿಸಲ್ಪಟ್ಟಾಗ ಹೆಚ್ಚುತ್ತವೆ. ನಿಜವಾದ ಸಂಚಾರದ ನಂತರವೂ ಶೂನ್ಯದಲ್ಲೇ ಉಳಿಯುವ ಬೈಟ್ ಸಂಖ್ಯೆ ಎಂದರೆ ಕರ್ನಲ್ ಆ ನೀತಿಯನ್ನು ಎಂದೂ ಆಯ್ಕೆ ಮಾಡಿಲ್ಲ.

ಆ ಶೂನ್ಯ ರೂಟಿಂಗ್ ಅಥವಾ ನೀತಿ ಕ್ರಮದ ಸಮಸ್ಯೆ, ಕ್ರಿಪ್ಟೋ ಸಮಸ್ಯೆ ಅಲ್ಲ. ಬಳಕೆದಾರರ ಸ್ಥಾನದಿಂದ ಅದು ಆಯ್ಕೆದಾರ ನಿರಾಕರಣೆಯಂತೆಯೇ ಕಾಣುತ್ತದೆ, ಆದ್ದರಿಂದ ಪ್ರೊಫೈಲ್ ಮತ್ತೆ ತೆರೆಯುವ ಮೊದಲು ಕೌಂಟರ್ಗಳನ್ನು ಸಂಗ್ರಹಿಸುವುದು ಯೋಗ್ಯ. ಒಂದೇ ದಿಕ್ಕಿನಲ್ಲಿ ಮಾತ್ರ ಏರುವ ಕೌಂಟರ್ಗಳು ಬದಲಿಗೆ ಹಿಂತಿರುಗುವ ಮಾರ್ಗವನ್ನು ಸೂಚಿಸುತ್ತವೆ.

ಸ್ವೀಕೃತ ಜೋಡಿಯನ್ನು ಟಿಕೆಟ್ನಲ್ಲಿ, ಮೂಲತಃ ಕೇಳಿದ ಶ್ರೇಣಿಯ ಪಕ್ಕದಲ್ಲಿ ಬರೆದು ಮುಗಿಸಿ. ಆಯ್ಕೆಯನ್ನು ಅಗತ್ಯದಷ್ಟೇ ಕಿರಿದಾಗಿ ಇರಿಸಿ, ಏಕೆಂದರೆ ಖಾಸಗಿ ಶ್ರೇಣಿಯನ್ನು ಎಲ್ಲ ವಿಳಾಸಗಳಿಂದ ಬದಲಿಸಿ ದೋಷ ತೆಗೆಯುವುದು ಖಾತೆಗೆ ಅನುಮೋದಿಸಿದ್ದಕ್ಕಿಂತ ಬಹಳ ಹೆಚ್ಚು ಪ್ರವೇಶ ನೀಡುತ್ತದೆ.