Fënnef Adressrollen an engem IPsec-Profil, a wéi eng dovun falsch ass
Endpunkt, Identitéit, geschützten Subnetz, Gateway-Quell an nächsten Hopp beäntweren all eng aner Fro. Passt d'Symptom fir d'éischt dem Feld un.
Fënnef verschidden Aufgabe kréien eng Adress an enger typescher Verbindungsdefinitioun, an si mussen net mateneen iwwerenee stëmmen. Administratore bleiwen hänke well e vernünftegen Instinkt, nämlech all Felder op deen selwechten Host weisen ze loossen, fir op d'mannst dräi vun hinnen falsch ass. De Wee eraus ass fir d'éischt d'Symptom ze nennen an duerno dat eent oder déi zwee Felder ze kucken, déi et kéinten ervirbréngen.
Déi fënnef Aufgabe, an der Rei wou se wichteg sinn
Den Transport-Endpunkt ass d'Plaz wou den IKE-Austausch geliwwert gëtt. D'authentifizéiert Identitéit ass den Numm, deen all Säit beweist, an si gëtt géint d'Politik gepréift, net géint eng Routingtabell. Déi geschützt Subnetze sinn d'Selektoren, déi entscheeden, wéi en bannenzege Verkéier an den Tunnel gehéiert. Duerno kënnt d'Quell, déi benotzt gëtt wann de Gateway selwer e Gespréich ufänkt, an zum Schluss den nächsten Hopp vum Ënnerlag fir de Peer z'erreechen.
Participantelabelen wéi left a right sinn Konventioune fir déi zwou Säite vun enger Verbindung, net Synonyme fir lokal a wäit ewech. Liest d'Handbuch vun der Implementatioun, déi tatsächlech installéiert ass, ier Dir unhëlt, e Schlëssel bedeit dat wat en anert Produkt domat gemengt huet.
| Job | Typical key | What fails when it is wrong |
|---|---|---|
| Transport endpoint | left, right | No IKE exchange at all |
| Authenticated identity | leftid, rightid | Exchange starts, peer rejects it |
| Protected subnets | leftsubnet, rightsubnet | Tunnel up, traffic not selected |
| Gateway source | leftsourceip, rightsourceip | Only gateway-originated flows fail |
| Underlay next hop | leftnexthop, rightnexthop | Peer unreachable from this host only |
Entscheedung eent: näischt etabléiert sech
Wann an de Logbicher guer keen Austausch erschéngt, ass den Endpunkt den éischten Verdächtegen: eng falsch Adress, en gefilterte Wee oder en Interface op deem den Daemon net lauschtert. Gitt eréischt op d'Identitéitsfelder wann en Handshake sichtbar ass, well d'Identitéit gëtt bannent dem Austausch beurteelt, net virdrun. En gefilterte Wee an eng falsch Adress gesinn aus Client-Siicht identesch aus, also préift d'lauschterend Säit ier Dir eppes ännert. Bestätegt datt den Daemon un den Interface gebonnen ass deen Dir erwaart, well en Déngscht deen op enger Adress lauschtert gesäit genee aus wéi en blockéierte Wee.
Eng ëffentlech Adress déi duerch Iwwersetzung observéiert gëtt ass net datselwecht wéi d'Identitéit déi e Peer beweist. Eng Adress änneren fir se un dat unzepassen wat eng Paketopnam um wäiten Enn weist ass eng heefeg an falsch Korrektur.
Entscheedung zwee: den Tunnel steet an de Verkéier stierft
D'Selektoren entscheeden wat an den Tunnel geet, an eng Net-Iwwerenee-stëmmung hei produzéiert eng Verbindung déi erfollegräich verhandelt während d'Applikatioun nach ëmmer feelt. Déi wäit Säit muss Äre geschützte Beräich als hire wäiten Beräich nennen, an do genau schleechen ëmgedréint Wäerter sech an.
Liest béid Konfiguratiounen niefteneen ier Dir ännert. De lokale Beräich op engem Host ass de wäite Beräich op deem aneren, an ee vertauscht Paar erkläert en Tunnel deen näischt dréit. Verengt d'Paar ier Dir d'Schlësselen ufässt: ee Subnetz bannent dem Tunnel an een dobausse soen Iech ob de Selektor oder d'Routing schold ass.
Entscheedung dräi: nëmmen de Verkéier vum Gateway selwer feelt
Verkéier dee fir Cliente weidergeleet gëtt kann perfekt funktionéieren während eng Ufro déi de Gateway selwer ufänkt feelt, well dee Floss keng Client-Quell huet fir z'erwen. D'Astellung fir déi bevorzugt Quell existéiert genee fir dëse Fall, an et ass keng Quell-Iwwersetzung: si wielt eng Quelladress amplaz eng ëmzeschreiwen.
Eng Applikatioun déi ausdrécklech eng aner Adress bindet kann d'Preferenz iwwersträichen, also bestätegt d'tatsächlech Quell vum Paket ier Dir schléisst datt d'Astellung ignoréiert gëtt. Maacht eng Opnam um eegene Gateway-Interface amplaz dem Intentioun vun der Konfiguratioun ze vertrauen.
Den nächsten Hopp ass eng lokal Instruktioun
Den nächsten Hopp vum Ënnerlag seet dësem Host wéi en de Peer erreecht, an déi wäit Säit brauch dee selwechte Wäert net. En als gemeinsam Astellung ze behandelen, oder e Standard-Gateway haart ze kodéieren, brécht dee Moment wou d'Route sech ännert oder en zweete Wee erschéngt.
Verschidden Implementatioune bidden hei speziell Wäerter. Dat wat d'Handbuch fir déi installéiert Versioun oplëscht ass déi eenzeg sécher Äntwert, an déi lokal Routingtabell ass de Beweis datt et funktionéiert huet. Wann e Peer iwwer den Numm awer net iwwer d'Adress erreechbar ass, dann ass dee Mëssklang de Fonnt, net en Detail deen een ëmgeet.
Liest de Profil vun zwou Enden
D'Rollen um Pabeier ëmdréien ass déi séierst Iwwerpréiwung déi et gëtt: tauscht déi geschützt Beräicher, behält jidder Säit hiren eegene nächsten Hopp an hir eegen Identitéit. Alles wat den Tausch net iwwersteet ass wahrscheinlech der falscher Aufgab zougewise.
Test duerno ee Floss pro Roll: Erreechbarkeet tëschend Peers, en bannenzegen Client-Floss an eng Ufro déi vum Gateway ausgeet. Dräi Tester soen Iech wéi eng Aufgab falsch zougewise ass ouni d'Konfiguratioun nach eng Kéier opzemaachen. Füügt d'Resultat an den Ticket niewent dem Feld dat Dir geännert hutt, well den nächsten Ingenieur wäert deeselwechte Profil fannen.