들어오는 IPsec 피어가 어떤 프로필과도 맞지 않나요? 네 개의 필드를 확인하세요

피어는 터널이 올라왔다고 보고하고, 이쪽에는 보안 연결이 보이지 않으며, 설정 파일에는 분명히 일치하는 연결 이름이 있습니다. 이 세 가지 진술은 동시에 참일 수 있습니다. 들어오는 협상은 피어의 주소, 피어가 제시하는 ID, 피어가 제안하는 트래픽을 기준으로 실행 중인 설정과 대조됩니다. 한 번도 불러오지 않은 디스크의 파일, 기대값과 맞지 않는 ID, 한 프리픽스만큼 어긋난 선택자 쌍 — 어느 것이든 침묵으로 끝납니다. 응답자가 따르는 순서대로 네 개의 필드 묶음을 따라가세요.

파일이 아니라 패킷에서 시작하세요

응답자는 IKE 요청을 받고, 이 피어를 받아들일 수 있는 정의를 찾은 다음 인증과 트래픽 선택으로 넘어갑니다. 첫 단계에서 불러온 정의가 하나도 맞지 않으면 유용한 오류가 사용자에게 도달하기 전에 협상이 끝납니다.

그래서 “설정이 맞아 보인다”는 증거가 아닙니다. 물어야 할 것은 실행 중인 서비스가 무엇을 불러왔고 이 시도에 어떤 항목을 골랐는가입니다. 상태 목록은 한 명령으로 그 답을 주지만, 편집기 버퍼는 다른 질문에 답합니다. 파일을 다시 고치기 전에 목록을 확인하세요.

첫 번째 필드 묶음: 실제로 불러온 정의

실행 상태는 데몬을 소유한 도구, 곧 불러온 연결을 나열하는 상태 명령으로 확인하며 편집기 버퍼가 아닙니다. 기대하는 항목이 있고, 의도한 시작 동작에 대해 활성화되어 있으며, 마지막 편집 뒤에 불러왔는지 확인하세요. 저장만 하고 다시 불러오지 않은 파일이 “고쳤는데 아무것도 바뀌지 않았다”의 가장 흔한 원인입니다.

서비스가 어느 파일을 읽는지도 확인하세요. 배포판마다 다르고, 잘못된 포함 파일에 쓴 연결은 거부되지 않고 조용히 무시됩니다. 상태 목록에 항목이 아예 보이지 않으면 구문보다 포함 경로를 먼저 의심하세요.

두 번째 필드 묶음: 끝점은 ID가 아닙니다

피어가 접속하는 주소와 피어가 인증에 쓰는 ID는 별개의 필드입니다. 호스트 이름, 식별 이름, 키 ID, 주소는 설정에 따라 모두 IKE ID가 될 수 있고, 공인 주소와 닮아야 할 이유도 전혀 없습니다.

끝점 일치에는 NAT 시점도 관련되어, 네트워크에서 보이는 주소가 피어가 자기 것이라고 믿는 주소와 다를 수 있습니다. libreswan의 연결 모델에서 left와 right는 두 참여자에 대한 이름표이고 고정된 로컬·원격 순서가 아니므로, 다른 사이트에서 동작하는 설정을 복사해 주소만 바꾸는 것은 신뢰할 수 있는 번역이 아닙니다.

양쪽의 기대 ID와 그것을 검증하는 자격 증명을 적어 두세요. 이 두 줄이 어긋나면 주소를 아무리 조정해도 일치가 나오지 않습니다.

세 번째 필드 묶음: 보호되는 트래픽

선택자는 내부 출발지와 목적지 범위, 그 주소 체계, 그리고 프로토콜이나 포트 제한을 기술합니다. 호스트 주소 하나에 대한 제안은 서브넷 전체에 대한 요청과 같지 않고, 서브넷에 맞춰 설정된 응답자는 그것을 거절하거나 좁힐 수 있습니다.

양 끝이 어긋날 때는 무언가 연결되도록 모든 선택자를 넓히는 대신 두 관점에서 의도한 흐름을 비교하세요. 각 관리자에게 자기가 지킨다고 믿는 흐름을 물은 다음 두 답을 맞대어 보세요. 불일치는 대개 한쪽은 호스트 프리픽스, 다른 쪽은 서브넷입니다. 지금은 모든 것을 보호하기 때문에 일치하는 터널은 다른 보안 결정이며, 아무도 승인하지 않은 결정입니다.

네 번째 필드 묶음: 당신은 하나의 구현을 읽고 있습니다

Libreswan, 옛 Openswan, strongSwan은 관리 도구도 설정 구문도 일치 순서도 다릅니다. 한쪽에서 동작한 예는 다른 쪽의 프로필 선택 우선순위나 오류 문구에 대해 정확히 아무것도 말해 주지 않으므로, 이 호스트의 데몬 문서로 확인하세요.

시도 하나를 끝에서 끝까지 연결하려면 개시자의 출발지 주소, 제시한 ID, 제안한 선택자를 응답자의 선택 메시지와 그 메시지가 지목한 불러온 항목에 견주어 봅니다. 캡슐화와 역캡슐화 카운터가 영이라는 것은 관측된 연결이 그 패킷을 나르지 않았다는 뜻일 뿐으로, 제안을 거절한 끝점을 지목하지도, 그 순간 일치하는 항목이 있었다는 것을 증명하지도 않습니다.

조정된 수정 뒤에는 선택된 프로필과 연결을 확인하고, 실제로 허용된 서비스와 그 응답 경로를 시험하세요. 프로필 일치는 협상을 가능하게 하고, 협상은 마지막 접근 확인이 아닙니다.