Кирүүчү IPsec өнөктөшү эч бир профилге туура келбейби? Төрт талааны текшериңиз

Өнөктөшүңүз тоннел көтөрүлгөнүн билдирет, сиздин тарабыңыз эч кандай коопсуздук ассоциациясын көрсөтпөйт, ал эми конфигурация файлында дал келген туташуу аталышы ачык бар. Бул үч бекемдөө бир убакта чын болушу мүмкүн. Кирүүчү сүйлөшүү иштеп жаткан конфигурация менен салыштырылат, өнөктөштүн дареги, анын сунуштаган инсандыгы жана сунуштаган трафиги боюнча. Дискте калып калган, эч качан жүктөлбөгөн файл, күтүлгөн мааниге туура келбеген инсандык же бир префикске жылган селектор жуп — ар бири үнсүздүк жаратат. Төрт талаа тобун жооп берүүчү жүргөн тартипте өтүңүз.

Файлдан эмес, пакеттен баштаңыз

Жооп берүүчү IKE сурамын алат, бул өнөктөштү кабыл ала турган аныктаманы издейт, анан аутентификация жана трафик тандоо менен улантат. Биринчи кадамда бир да жүктөлгөн аныктама туура келбесе, сүйлөшүү пайдалуу ката колдонуучуга жетпей туруп бүтөт.

Ошондуктан «конфигурация туура көрүнөт» далил эмес. Маселе — иштеп жаткан кызмат эмнени жүктөгөнүндө жана бул аракетке кайсы жазууну тандаганында. Абал тизмеси мунун жообун бир буйрук менен берет, ал эми редактор буфери башка суроого жооп берет. Файлды кайра өзгөртүүдөн мурун тизмени текшериңиз.

Биринчи талаа тобу: чындап жүктөлгөн аныктама

Иштеп жаткан абалды демонду ээлеген курал менен текшериңиз: жүктөлгөн туташууларды тизмелеген абал буйругу, редактор буфери эмес. Күтүлгөн жазуунун бар экенин, сиз каалаган баштоо жүрүм-туруму үчүн күйгүзүлгөнүн жана акыркы өзгөртүүңүздөн кийин жүктөлгөнүн ырастаңыз. Сакталган, бирок кайра жүктөлбөгөн файл «оңдодум, бирок эч нерсе өзгөргөн жок» дегендин эң көп кездешкен себеби.

Кызмат кайсы файлды окуганын да ырастаңыз. Дистрибутивдер ар башка, ал эми туура эмес кошууга жазылган туташуу четке кагылбастан үнсүз этибарга алынбайт. Эгер абал тизмеси жазууңузду такыр көрсөтпөсө, синтаксистен мурун кошуу жолунан шектениңиз.

Экинчи талаа тобу: четки чекиттер инсандык эмес

Өнөктөш туташкан дарек менен ал аутентификация жасаган инсандык өзүнчө талаалар. Хост аталышы, айырмаланган аталыш, ачкыч идентификатору жана дарек конфигурацияга жараша IKE инсандыгы боло алат жана алардын коомдук дарекке окшошуу талабы такыр жок.

Четки чекиттерди дал келтирүү NAT көрүнүшүн да камтышы мүмкүн: тармакта көрүнгөн дарек өнөктөш өзүндө бар деп ойлогон даректен айырмаланышы мүмкүн. libreswan туташуу моделинде left жана right эки катышуучунун белгилери, ал эми жергиликтүү менен алыскынын катуу тартиби эмес, ошондуктан иштеген конфигурацияны башка жерден көчүрүп, даректерди алмаштыруу ишенимдүү котормо эмес.

Эки тараптын күтүлгөн инсандыгын жана аны текшерген күбөлүктү жазып алыңыз. Эгер бул эки сап дал келбесе, даректерди канча оңдосоңуз да дал келүү болбойт.

Үчүнчү талаа тобу: корголгон трафик

Селекторлор ички булак жана багыт аралыктарын, алардын дарек үй-бүлөсүн жана протокол же порт боюнча ар кандай чектөөнү сүрөттөйт. Бир хост дареги үчүн сунуш бүтүндөй кошумча тармак үчүн сурам менен бирдей эмес, ал эми кошумча тармакка жөндөлгөн жооп берүүчү аны четке кагышы же тарылтышы мүмкүн.

Эки чет дал келбесе, бир нерсе туташышы үчүн ар бир селекторду кеңейтүүнүн ордуна ниеттелген агымды эки көз караштан салыштырыңыз. Ар бир администратордон өзү коргойм деп эсептеген агымды сурап, анан эки жоопту салыштырыңыз. Дал келбестик адатта бир тарапта хост префикси, экинчисинде кошумча тармак. Азыр баарын коргогондуктан дал келген тоннель башка коопсуздук чечими жана эч ким бекитпеген чечим.

Төртүнчү талаа тобу: сиз бир ишке ашырууну окуп жатасыз

Libreswan, эски Openswan жана strongSwan ар башка башкаруу куралдарына, конфигурация синтаксисине жана дал келтирүү тартибине ээ. Бирөөнүн иштеген мисалы экинчисинин профиль тандоо артыкчылыгы же ката сүрөттөлүшү жөнүндө так эч нерсе айтпайт, ошондуктан ушул хосттогу демондун документтери менен текшериңиз.

Бир аракетти башынан аягына чейин байланыштырыңыз: демилгечинин булак дареги, сунушталган инсандык жана сунушталган селекторлор — жооп берүүчүнүн тандоо билдирүүсү жана ал атаган жүктөлгөн жазуу менен салыштырып. Нөлдүк инкапсуляция жана декапсуляция эсептегичтери байкалган ассоциациялар бул пакеттерди ташыбаганын гана айтат; алар сунушту четке каккан четки чекитти атабайт жана ошол учурда дал келген жазуу болгонун далилдебейт.

Макулдашылган оңдоодон кийин тандалган профилди жана ассоциацияны ырастаңыз, анан чындыгында уруксат берилген кызматты жана анын жооп жолун сынап көрүңүз. Профилдин дал келүүсү сүйлөшүүгө мүмкүндүк берет, ал эми сүйлөшүү — акыркы кирүү текшерүүсү эмес.