Wann IKEv2 TS_UNACCEPTABLE zréckgëtt, vergläicht déi richteg Subnetzen

Liest TS_UNACCEPTABLE als Oneneestimmung iwwer d'Ofdeckung, net als e beschiedegte Profil. Den Gateway seet, datt déi zwou Säiten sech net konnte eeneg ginn, wéi eng Adressen dësen Tunnel droe kann. D'IKE SA kann zu deem Moment schonn uewen sinn, dofir kann e Client verbonne schéngen, ouni eng Kanner-SA hannendrun. Wann Dir et esou uginn, gëtt d'Aarbecht mechanesch. Schreift d'virgesinn Präfixe vun deenen zwou Säiten op, vergläicht se an eng Richtung a verschmälert se, bis se sech schneiden.

Schreift fir d'éischt déi virgesinn Pueren op

Ier Dir un der Konfiguratioun rührt, zielt véier Wäerter op: de Quellberäich vum Initiator, säin Zilberäich an dat selwecht Puer aus der Sicht vum Responder. Notéiert och d'Adressfamill vun jiddwerengem. En IPv4-Beräich an en IPv6-Beräich sinn ënnerschiddlech Selektor-Typen, an keen vun deenen zwee kann an de Payload vum aneren gefaalt ginn.

Füügt all Protokoll- oder Portbeschränkung derbäi, déi d'Politik dréit. Eng Regel, déi nëmmen TCP 445 op e Dateiserver erlaabt, beschreift eng méi enk Set wéi d'Subnetz, an där se sëtzt. Loosst Dir dat aus Ären Notizen, wäert d'Resultat vun der Verhandlung inkonsistent ausgesinn aus Grënn, déi Dir net gesitt.

Dréit d'Etiketten ëm, ier Dir se vergläicht

Lokal a wäit sinn relativ Etiketten. De lokale Präfix vum Client ass de wäite Beräich vum Gateway, an de lokale Beräich vum Gateway ass dee wäiten vum Client. Dofir kommen Screenshotten vun deenen zwee Enner ni iwwerenee, a se wuertwiertlech ze vergläichen ass de gewéinleche Wee, en Nomëtteg ze verléieren.

E Responder kann en Ugebot op eng akzeptabel Ënnermeng verschmälere amplaz et ofzeleenen. Dee Resultat ass schléchter wéi en propper Feelschlag, well en hallef funktionnéiert. Frot 10.0.0.0/16, wann d'Politik 10.0.5.0/24 erlaabt, an Dir kënnt mat enger Kanner-SA ophalen, déi nëmmen déi /24 deckt. Een Host äntwert, alles anescht fält dobaussen, an näischt am Client seet dat. Liest déi akzeptéiert Selektoren an net déi ugefrot, ier Dir schléisst, datt d'Verhandlung geglëckt ass.

Road-Warrior-Profiler, déi eng Standardroute froen, landen hei stänneg. En Gateway, dee fir opgedeelte Zougang gebaut ass, verschmälert en Ugebot mat vollem Beräich op seng eege Subnetzen, an de Client muss de verschmälerten Resultat akzeptéieren oder haart feelen.

Liest d'Oflehnung aus engem eenzegen Versuch

Sammelt béid Loge vum selwechte Verbindungsversuch. E gespaarte Profil weist, wat Dir konfiguréiert hutt, net wat proposéiert gouf, an op strongSwan dréckt swanctl --log d'empfange Notifikatioun zesumme mat de Selektoren, déi se gedroen huet.

Dono kontrolléiert, wat tatsächlech installéiert gouf. swanctl --list-sas weist d'Selektore vun der Kanner-SA, an ip xfrm policy weist déiselwecht Beräicher als Kernel-Politik-Andräg. Eng Kanner-SA an där Lëscht mat Selektoren, déi Dir net virgesinn hutt, ass en Verschmälerungs-Evenement; keng Kanner-SA plus TS_UNACCEPTABLE am Log ass eng Oflehnung.

Wärend Dir do sidd, trennt déi no Nopere. INVALID_SELECTORS beschwéiert sech iwwer e Selektor bannent enger etabléierter Kanner-SA, wärend INTERNAL_ADDRESS_FAILURE bedeit, datt de Responder keng virtuell Adress konnt zoudeelen, wat e Pool- a kee Ofdeckungsproblem ass.

Kontrolléiert, wat d'Set stëll verklengert

Dräi Saachen verklengeren e Selektor-Set, ouni eppes ze soen. D'Politik vum Responder ass déi éischt, iwwer Subnetzlëschten, Gruppereegelen oder Autorisatioun pro Benotzer, déi d'Ugebot op eng Ënnermeng reduzéieren. D'Adressfamill ass déi zweet: en Dual-Stack-Client proposéiert dacks IPv6 nieft IPv4 a kritt eng Oflehnung fir Beräicher, déi den Gateway ni konfiguréiert huet.

Protokoll- a Portbeschränkunge sinn déi drëtt. Wou d'Politik nëmmen TCP 445 erlaabt, kann eng Kanner-SA eropkommen, wärend ICMP an UDP dobausse bleiwen, an de Benotzer mëllt en gebrochenen Tunnel, obwuel een eenzegen Protokoll alles war, wat jeemools erlaabt gouf.

Dofir kann d'Verbreedung vun Adressen eleng eng portbeschränkt Politik net reparéieren, an dat ass just dee Fall, dee mat gréisster Wahrscheinlechkeet dräi Ronde Fehlersich ouni Verännerung iwwersteet.

Beweist d'Ofdeckung mat Traffic, dee passt

Nodeems d'Kanner-SA installéiert ass, schéckt eng Ufro, déi sécher an déi akzeptéiert Beräicher fält. Kuckt op d'Zieler amplaz vum Statussymbol: ip -s xfrm state an d'Zieler hannert ip xfrm policy klammen, wann e Paket ugepasst a geschützt gëtt. Eng Bäit-Zuel, déi no richtegem Traffic op null bleift, bedeit, datt de Kernel déi Politik ni gewielt huet.

Déi Null ass e Routing- oder Politikuerdnungsproblem, kee Krypto-Problem. Et gesäit och genee esou aus wéi eng Selektor-Oflehnung aus dem Benotzer senger Plaz, dofir ass et derwäert, d'Zieler ze sammelen, ier Dir de Profil erëm opmaacht. Zieler, déi nëmmen an eng Richtung klammen, weisen amplaz op de Réckwee.

Schléisst of, andeems Dir dat akzeptéiert Puer an den Ticket schreift, nieft dem Beräich, deen ursprénglech ugefrot gouf. Halt d'Auswiel esou enk wéi d'Ufuerderung, well de Feeler ze läschen, andeems een e private Beräich duerch all Adressen ersetzt, vill méi Zougang gëtt, wéi fir de Kont genehmegt gouf.