IKEv2 TS_UNACCEPTABLE кайтарганда, чыныгы ички тармактарды салыштырыңыз

TS_UNACCEPTABLE баасын бузулган профиль катары эмес, камтуу боюнча макулдашпоо катары окуңуз. Шлюз эки тарап бул туннель кайсы даректи ташып жүрө алары боюнча макулдаша албаганын айтып турат. Ошол учурда IKE SA мурунтан көтөрүлгөн болушу мүмкүн, ошондуктан кардар артында эч кандай бала SA жок болсо да туташкандай көрүнүшү мүмкүн. Ушундайча түзүп берсеңиз, иш механикалык болуп калат. Эки тараптын ниет кылган префикстерин жазып алыңыз, аларды бир багытта салыштырыңыз жана кесилишкенге чейин куушуртуңуз.

Алгач ниет кылынган жуптарды жазыңыз

Конфигурацияга кол тийгизбестен мурун төрт маанини тизмелеңиз: баштоочунун булак диапазону, анын багыт диапазону жана ошол эле жуптун жооп берүүчү тараптан көрүнүшү. Ар биринин дарек үй-бүлөсүн да жазыңыз. IPv4 диапазону менен IPv6 диапазону ар башка селектор түрлөрү, жана экөөнүн бирин экинчисинин пайдалуу жүгүнө бүктөөгө болбойт.

Саясат көтөргөн каалаган протокол же порт чектөөсүн кошуңуз. Файл серверине бир гана TCP 445 уруксат берген эреже, ал жайгашкан ички тармактан тар топтомду сүрөттөйт. Муну жазууларыңыздан сыртка калтырсаңыз, сүйлөшүүнүн жыйынтыгы өзүңүз көрбөгөн себептерден уйкашсыз көрүнөт.

Салыштыруудан мурун белгилерди тескери буруп ал

Жергиликтүү жана алыскы салыштырмалуу белгилер. Кардардын жергиликтүү префикси шлюздун алыскы диапазону, ал эми шлюздун жергиликтүү диапазону кардардын алыскы диапазону. Ошондуктан эки четинен жасалган скриншоттор эч качан дал келбейт, жана аларды сөзмө-сөз салыштыруу түштөн кийинки убакытты жоготуунун адаттагы жолу.

Жооп берүүчү сунушту четке какпастан, аны кабыл ала турган ички топтомго чейин куушуртушу мүмкүн. Бул жыйынтык таза ийгиликсиздиктен жаман, анткени ал жарым-жартылай иштейт. Саясат 10.0.5.0/24 уруксат бергенде 10.0.0.0/16 сурасаңыз, бир гана ошол /24 камтыган бала SA менен бүтүшүңүз мүмкүн. Бир хост жооп берет, калганынын баары сыртта калат, жана кардарда эч нерсе муну айтпайт. Сүйлөшүү ийгиликтүү болду деп жыйынтык чыгарбастан мурун суралгандарды эмес, кабыл алынган селекторлорду окуңуз.

Демейки маршрутту сураган road warrior профилдери бул жерге дайыма түшөт. Бөлүнгөн кирүү үчүн курулган шлюз толук диапазондогу сунушту өз ички тармактарына чейин куушуртат, жана кардар куушуртулган жыйынтыкты кабыл алышы же катуу үн менен ийгиликсиз болушу керек.

Баш тартууну бир аракеттен окуңуз

Бир эле туташуу аракетинен эки журналды тең жыйнаңыз. Сакталган профиль эмнени жөндөгөнүңүздү көрсөтөт, эмне сунушталганын эмес, ал эми strongSwanда swanctl --log алынган билдирүүнү өзү алып жүргөн селекторлор менен чогуу басып чыгарат.

Андан кийин чындыгында эмне орнотулганын текшериңиз. swanctl --list-sas бала SAнын селекторлорун көрсөтөт, ал эми ip xfrm policy ошол диапазондорду ядро саясатынын жазуулары катары көрсөтөт. Ошол тизмеде ниет кылбаган селекторлору бар бала SA куушуртуу окуясы; журналда бала SA жок жана TS_UNACCEPTABLE болсо баш тартуу.

Ошол жерде турганда жакын кошуналарды бөлүңүз. INVALID_SELECTORS орногон бала SAнын ичиндеги селекторго нааразы болот, ал эми INTERNAL_ADDRESS_FAILURE жооп берүүчү виртуалдык дарек бөлүп бере албаганын билдирет, бул камтуу эмес, бассейн маселеси.

Топтомду үнсүз эмне кичирейтээрин текшериңиз

Үч нерсе селектор топтомун эч нерсе айтпастан кичирейтет. Биринчиси жооп берүүчүнүн саясаты: ички тармак тизмелери, топ эрежелери же колдонуучу боюнча авторизация сунушту ички топтомго чейин азайтат. Экинчиси дарек үй-бүлөсү: кош стектүү кардар көбүнчө IPv4 менен катар IPv6 сунуштайт жана шлюз эч качан жөндөбөгөн диапазондор үчүн баш тартуу алат.

Үчүнчүсү протокол жана порт чектөөлөрү. Саясат бир гана TCP 445 уруксат бергенде, ICMP жана UDP анын сыртында калган бойдон бала SA көтөрүлүшү мүмкүн, жана колдонуучу бир гана протокол уруксат берилген болсо да туннель бузулду деп билдирет.

Ошондуктан дарегирлерди гана кеңейтүү порт менен чектелген саясатты оңдой албайт, жана дал ушул учур үч айлампа ката изилдөөдөн кийин өзгөрүүсүз калуу ыктымалдыгы эң жогору.

Туура келген трафик менен камтууну далилдеңиз

Бала SA орнотулгандан кийин кабыл алынган диапазондордун ичине сөзсүз түшө турган бир сурам жөнөтүңүз. Абал белгисинин ордуна эсептегичтерди караңыз: ip -s xfrm state жана ip xfrm policy артындагы эсептегичтер пакет дал келип, корголгондо өсөт. Чыныгы трафиктен кийин нөлдө калган байт саны ядро ошол саясатты эч качан тандабаганын билдирет.

Бул нөл маршруттоо же саясат тартибинин маселеси, крипто маселеси эмес. Ал колдонуучунун ордунан селектордон баш тартууга так окшош, ошондуктан профилди кайра ачпас мурун эсептегичтерди жыйнаган жөн. Бир гана багытта өскөн эсептегичтер тескерисинче кайтуу жолун көрсөтөт.

Кабыл алынган жупту билетке, башында суралган диапазондун жанына жазып бүтүрүңүз. Тандоону талапка жараша кууш кармаңыз, анткени жеке диапазонду бардык даректер менен алмаштырып катаны жою эсепке бекитилгенден алда канча көп кирүү уруксатын берет.