IPsec профилиндеги беш дарек ролу жана алардын кайсынысы туура эмес
Акыркы чекит, инсандык, корголгон ички тармак, шлюз булагы жана кийинки секирик ар бири башка суроого жооп берет. Адегенде симптомду талаа менен дал келтириңиз.
Кадимки туташуу аныктамасында беш түрдүү иш дарек алат жана алар бири-бири менен дал келиши шарт эмес. Администраторлор тыгылып калат, анткени акылга сыярлык инстинкт, башкача айтканда бардык талааларды бир хостко багыттоо, алардын жок дегенде үчөө үчүн туура эмес. Чыгуу жолу — адегенде симптомду атап, анан аны пайда кылышы мүмкүн болгон бир же эки талааны кароо.
Беш иш, маанилүүлүгү боюнча
Транспорттун акыркы чекити — IKE алмашуусу жеткирилген жер. Аутентификацияланган инсандык — ар бир тарап далилдеген ат, жана ал маршруттоо таблицасына эмес, саясатка каршы текшерилет. Корголгон ички тармактар — кайсы ички трафик туннелге тиешелүү экенин чечүүчү селекторлор. Андан кийин шлюз өзү сүйлөшүү баштаганда колдонулуучу булак, жана акыры серттешке жетүү үчүн төмөнкү катмардын кийинки секириги.
left жана right сыяктуу катышуучу белгилери туташуунун эки тарабы үчүн конвенциялар, жергиликтүү жана алыскынын синонимдери эмес. Ачкыч башка продукт ага салган маанини билдирет деп ойлоодон мурун иш жүзүндө орнотулган ишке ашыруунун колдонмосун окуңуз.
| Job | Typical key | What fails when it is wrong |
|---|---|---|
| Transport endpoint | left, right | No IKE exchange at all |
| Authenticated identity | leftid, rightid | Exchange starts, peer rejects it |
| Protected subnets | leftsubnet, rightsubnet | Tunnel up, traffic not selected |
| Gateway source | leftsourceip, rightsourceip | Only gateway-originated flows fail |
| Underlay next hop | leftnexthop, rightnexthop | Peer unreachable from this host only |
Биринчи чечим: эч нерсе орной албайт
Журналдарда алмашуу такыр көрүнбөсө, акыркы чекит биринчи шектүү: туура эмес дарек, чыпкаланган жол же демон укпаган интерфейс. Инсандык талааларына кол алышуу көрүнгөндөн кийин гана өтүңүз, анткени инсандык алмашуунун ичинде бааланат, андан мурун эмес. Чыпкаланган жол менен туура эмес дарек кардар тарабынан бирдей көрүнөт, ошондуктан бир нерсени оңдоодон мурун угуучу тарапты текшериңиз. Демон күткөн интерфейске байланганын ырастаңыз, анткени бир даректе угуучу кызмат такыр блоктолгон жолго окшош көрүнөт.
Которуу аркылуу байкалган коомдук дарек серттештин далилдеген инсандыгы менен бирдей нерсе эмес. Даректи алыскы учтагы пакет кармоо көрсөткөнгө дал келтирүү үчүн өзгөртүү — кеңири таралган жана туура эмес оңдоо.
Экинчи чечим: туннель турган, ал эми трафик өлөт
Селекторлор туннелге эмне кирерин чечет, жана бул жердеги дал келбестик сүйлөшүүнү ийгиликтүү жүргүзгөн, бирок колдонмо дагы эле кулай турган туташууну жаратат. Алыскы тарап сиздин корголгон диапазонуңузду өзүнүн алыскы диапазону деп атоосу керек, жана дал ошол жерде оодарылган маанилер кирип кетет.
Оңдоодон мурун эки конфигурацияны катар окуңуз. Бир хосттогу жергиликтүү диапазон — экинчисиндеги алыскы диапазон, жана бир гана алмаштырылган жуп эч нерсе ташыбаган туннелди түшүндүрөт. Ачкычтарга тийүүдөн мурун жупту куушуртуңуз: туннелдин ичинде бир ички тармак жана сыртында бир — селекторбу же маршруттообу күнөөлүү экенин айтат.
Үчүнчү чечим: шлюздун өз трафиги гана кулайт
Кардарлар үчүн өткөрүлгөн трафик мыкты иштеши мүмкүн, ал эми шлюз өзү баштаган суроо кулайт, анткени бул агымда мураска ала турган кардар булагы жок. Артык көрүлгөн булак жөндөөсү дал ушул учур үчүн бар жана ал булакты которуу эмес: ал булак дарегин кайра жазуунун ордуна тандайт.
Башка даректи ачык байланыштырган колдонмо артыкчылыкты басып өтүшү мүмкүн, ошондуктан жөндөө этибарга алынбайт деп жыйынтыктаардан мурун пакеттин чыныгы булагын ырастаңыз. Конфигурациянын ниетине ишенүүнүн ордуна шлюздун өз интерфейсинде кармаңыз.
Кийинки секирик — жергиликтүү көрсөтмө
Төмөнкү катмардын кийинки секириги бул хостко серттешке кантип жетүүнү айтат, ал эми алыскы тарапка ошол эле маани керек эмес. Аны жалпы жөндөө катары кароо же демейки шлюзду катуу коддоо — маршрут өзгөргөн же экинчи жол пайда болгон учурда бузулат.
Айрым ишке ашыруулар бул жерде атайын маанилерди сунуштайт. Колдонмо орнотулган версия үчүн тизмелеген нерсе — жалгыз коопсуз жооп, ал эми жергиликтүү маршруттоо таблицасы анын иштегенин далилдейт. Серттешке аты боюнча жетүүгө болуп, дареги боюнча болбосо, ошол дал келбестик — табылга, айланып өтүүчү майда-чүйдө эмес.
Профилди эки четинен окуңуз
Ролдорду кагазда оодаруу — эң тез кароо: корголгон диапазондорду алмаштырыңыз, ар бир тараптын өз кийинки секиригин жана ар бир тараптын өз инсандыгын сактаңыз. Алмашууга чыдабаган нерсе, сыягы, туура эмес ишке дайындалган.
Анан ар бир роль үчүн бир агымды сынап көрүңүз: серттештердин ортосундагы жеткиликтүүлүк, ички кардар агымы жана шлюзден чыккан суроо. Үч сыноо конфигурацияны кайра ачпастан кайсы иш туура эмес дайындалганын айтат. Жыйынтыкты өзгөрткөн талааңыздын жанына билетке кошуңуз, анткени кийинки инженер ошол эле профилди кезиктирет.