IKE ичиндеги MAC дал келбестиги жалпы ачкычты текшерүү ишке ашпаганын билдирет

Cloud VPN журналыңыз жалпы ачкыч менен аракетти, анан MAC mismatched көрсөтөт, ал эми биринчи инстинкт көбүнчө дарек маселесин издөө. Бул тармакта MAC — билдирүүнү аутентификациялоо коду: келишилген ачкыч менен алмашуу боюнча эсептелген маани. Өнөктөш өз эсебин алган маани менен салыштырды жана алар айырмаланды. Бул жерде тармактык карта катышпайт жана эч бир интерфейс параметри бул салыштырууну өзгөртпөйт.

Иш жүзүндө аны эки шарт пайда кылат: эки тараптагы сырлар бирдей маани эмес, же сырды тандоо үчүн колдонулган инсандар дал келбейт. Кайсынысы экенин жупту окуп чечиңиз, жалгыз туннелди эмес.

Баскыч эмнени далилдейт

Текшерүү эки тарап баштапкы параметрлерди алмашып, өзүн тааныткандан кийин аткарылат. Ал жергиликтүү жана алыскы инсандар үчүн талапкер жалпы ачкычтарды тандап, алынган аутентификация маалыматтарын текшерүүгө аракет кылат; эч бири текшелбесе, диагностика чыгарылат. Бул аутентификация жөнүндө күчтүү, себеп жөнүндө алсыз билдирүү, анткени кайсы тарап ката экенин айтпайт.

Мурунку ийгилик бул текшерүүгө өтпөйт. Аяктаган IKE_SA_INIT же күтүлгөн маанилерди кайтарган NAT аныктоо жүктөмү өнөктөштөр сүйлөшө аларын далилдейт. Алар сырды бөлүшөбү же жокпу жөнүндө эч нерсе далилдебейт.

Эки конфигурация катасы, бир билдирүү

Биринчиси — сырдын чыныгы дал келбестиги, адатта бул даярдоо кырсыгы: бир консолго орнотулуп, экинчисинде кайра терилген жаралган маани, бир тарапта калган акыркы белги же көчүрүү менен келген тырмакча. Экинчиси — инсандын дал келбестиги, мында сыр туура, бирок өнөктөш сунуштаган инсан башка жазууну тандайт, ошондуктан туура сыр эч качан сыналбайт. Экөө тең бир эле сапты чыгарат, ошондуктан божомолдоо жарым күн алат.

Ар кандай сырга тийүүдөн мурун жупту салыштырыңыз. Туннелди, өнөктөштүн акыркы чекитин, убакыт терезесин жана алыскы конфигурацияны дал келтириңиз, анткени эки кошумча туннелде ар башка сырлар болушу мүмкүн жана алдыңыздагы экран ишке ашпаган экран болбошу мүмкүн.

NAT аныктоо — башка баскыч

NAT аныктоо пакеттердин кантип кайра жазылышын сурайт, өнөктөштүн ким экенин эмес. NAT артындагы кардар дарбазасы конфигурацияланган инсаны өнөктөш күткөн инсан болгондо дагы эле туура аутентификацияланат, ал эми NAT маселеси аутентификация салыштыруусунун ишке ашпастыгы эмес, сунуш же порт дал келбестиги катары көрүнөт.

Бир жеткирүүчүнүн чыгарылышы жөнүндө эски билдирүүнү учурдагы жайгаштырууга көчүрбөңүз. Сиздин чыгарылышта NAT өтүү эмнени талап кылаары анын өз документтерине таандык, ал эми MAC mismatch сүйлөмү анын жактоосу же каршысы катары далил эмес.

Экрандан эмес, жуптан чечиңиз

Сырды жашырып эки конфигурацияны катар окуңуз, анан үч суроо бериңиз. Ар бир тараптагы инсан экинчиси күткөндөй такпы, тамга менен? Эки тарап бир IKE версиясын жана бир аутентификация ыкмасын колдонору? Ишке ашпаган туннел сиз окуп жаткан конфигурацияга туура келеби? Алардын кайсынысына болбосун «жок» деген жооп сырга тийбестен оңдоону аныктайт.

Эгер үчөө тең таза болсо, айланасында оңдөөнүн ордуна бекитилген жумуш агымы аркылуу сырды алмаштырыңыз.

Өнөктөш аутентификациялангандан кийин

Аутентификация ийгиликтүү болгондон кийин кийинки бузулуу бети — туунду коопсуздук бирикмеси: сунуштар жана трафик селекторлору. Кабыл алынган сырды айландыруу туунду бузулууну оңдобойт жана үзгүлтүктү узартат. Туунду абалды, анан эки тараптагы селекторлорду жана корголгон диапазондорду окуңуз, жана Cloud VPN көйгөйлөрүн чечүү колдонмосун чындыгында ишке ашпаган баскычка дал келтириңиз.

Эки тараптагы жаңы журналдарды байланыштырыңыз ошол эле жуп жана ошол эле терезе үчүн. Бир тарап жалгыз экинчи тараптын кириши жок чечим чыгарат, ал эми бул билдирүүнү башында пайда кылган эки анжылык.

Эмнени жыйынтыктоого болбойт

Билдирүүнү MAC даректерин өзгөртүү талабы деп окубаңыз жана жардам сурап жатканда жалпы сырды жарыялабаңыз; ачкычы бар үзүндүдөн ачкычты алып салуу керек, журналды сактоо эмес. Маршруттоо бузулуусун да болжолдобоңуз, анткени бири-бирине жетпеген өнөктөштөр аутентификация салыштыруусун такыр жасабайт. Жана бир продукт тобунун документтелген чектөөсүн ар бир IPsec ишке ашырылышына жалпылабаңыз.

Ишке ашпаган жупту, туннелдин абалын мурун жана кийин, жана эки шарттын кайсынысын өзгөрткөнүңүздү жазыңыз. Бул жазуу кийинки окуяны беш мүнөттүк текшерүүгө айландырат.