Erageenden IPsec-Peer deen zu kengem Profil passt? Véier Felder kontrolléieren

Äre Peer mellt, datt den Tunnel uewen ass, Är Säit weist keng Sécherheetsassociatioun, an d'Konfiguratiounsdatei enthält kloer en entspriechende Verbindungsnumm. Déi dräi Aussoen kënnen all gläichzäiteg wouer sinn. Eng erakommend Verhandlung gëtt mat der lafender Konfiguratioun verglach, op Basis vun der Adress vum Peer, der Identitéit déi en duerstellt an dem Traffic deen en proposéiert. Eng Datei um Disk déi ni geluede gouf, eng Identitéit déi net mam erwaarde Wäert iwwerenee kënnt, oder e Selektorepaar dat ëm ee Präfix verréckelt ass — jiddwereen dovun erzeugt Stëllt. Gitt déi véier Feldgruppe sou duerch wéi de Responder se duerchgeet.

Fänkt mam Paket un, net mat der Datei

De Responder kritt eng IKE-Ufro, sicht eng Definitioun déi dëse Peer akzeptéiere kann, a fuert duerno mat Authentifizéierung an Trafikauswiel weider. Wann am éischten Schrëtt keng geluede Definitioun passt, ass d'Verhandlung eriwwer ier e brauchbaren Feeler de Benotzer erreecht.

Dofir ass „d'Konfiguratioun gesäit richteg aus“ kee Beweis. D'Fro ass, wat de lafende Service gelueden huet a wéi en Entrée en fir dëse Versuch ausgewielt huet. Eng Statuslëscht äntwert drop mat engem Befehl, wärend den Editorpuffer eng aner Fro äntwert. Kontrolléiert d'Lëscht ier Dir d'Datei nach eng Kéier ännert.

Éischt Feldgrupp: d'Definitioun déi tatsächlech geluede gouf

Kontrolléiert den lafende Zustand mam Geschier deem den Daemon gehéiert: e Statusbefehl deen déi geluede Verbindunge lëscht, net den Editorpuffer. Bestätegt datt den erwaarten Entrée do ass, fir d'Startverhalen dat Dir wëllt ageschalt ass, an no Ärer leschter Ännerung geluede gouf. Eng gespäicherte Datei déi net nei geluede gouf ass déi heefegst Ursaach fir „ech hunn et verbessert an et huet sech näischt geännert“.

Bestätegt och wéi eng Datei de Service liest. D'Distributioune sinn ënnerschiddlech, an eng Verbindung déi am falschen Include geschriwwe gouf gëtt stëll ignoréiert amplaz verworf. Wann d'Statuslëscht Ären Entrée guer net weist, verdächtegt den Include-Pad éier Dir d'Syntax verdächtegt.

Zweet Feldgrupp: Endpunkten sinn keng Identitéiten

D'Adress vun där de Peer sech verbënnt an d'Identitéit mat där en sech authentifizéiert sinn getrennt Felder. En Hostnumm, en ënnerschiddlechen Numm, eng Schlëssel-ID an eng Adress kënnen all als IKE-Identitéit déngen ofhängeg vun der Konfiguratioun, an et brauche se guer net wéi d'ëffentlech Adress auszegesinn.

D'Passung vun den Endpunkten kann och eng NAT-Siicht enthalen: d'Adress déi um Netz ze gesinn ass kann anescht sinn wéi d'Adress déi de Peer mengt ze hunn. Am Verbindungsmodell vu libreswan sinn left a right Etiketten fir déi zwee Participanten an net eng fix lokal an distant Uerdnung, dofir ass d'Kopéiere vun enger funktionéierender Konfiguratioun vun enger anerer Plaz mat ëmgetauschten Adressen keng zouverlässeg Iwwersetzung.

Schreift déi erwaart Identitéit vun béide Säiten an den Nopersweis deen se validéiert op. Wann déi zwee Linnen net iwwerenee stëmmen, gëtt keng Adressjustéierung eng Passung.

Drëtt Feldgrupp: den Traffic dee geschützt gëtt

D'Selektoren beschreiwen déi bannen Unfanks- a Zilberäicher, hir Adressfamill an all Protokoll- oder Portrestriktioun. Eng Propositioun fir d'Adress vun engem eenzegen Host ass net déiselwecht Ufro wéi fir een ganzt Subnetz, an e Responder dee fir d'Subnetz konfiguréiert ass kann s'ofleenen oder enkpäifen.

Wann déi zwou Enner net iwwerenee stëmmen, vergläicht de virgesinnene Floss aus béide Siichten amplaz all Selekter ze verbreeden sou datt eppes sech verbënnt. Frot all Administrateur wat fir e Floss en ze schütze mengt, a vergläicht dann déi zwou Äntwerten. D'Discrepanz ass meeschtens e Hostpräfix op enger Säit an e Subnetz op der anerer. En Tunnel deen passt well en elo alles schützt ass eng aner Sécherheetsentscheedung, an eng déi kee genehmegt huet.

Véiert Feldgrupp: Dir liest eng Implementatioun

Libreswan, den ale Openswan a strongSwan hunn ënnerschiddlech Verwaltungsgeschier, ënnerschiddlech Konfiguratiounssyntax an ënnerschiddlech Passungsuerdnung. E funktionéierend Beispill vun engem seet näischt Präzises iwwer d'Prioritéit vun der Profilauswiel oder d'Feelerformuléierung vum aneren, dofir verifizéiert mat der Dokumentatioun fir den Daemon op dësem Host.

Korreléiert een Versuch vu Ufank bis Enn: d'Quelladress vum Initiator, déi ugebueden Identitéit an déi proposéiert Selektoren — géint d'Auswielmessage vum Responder an den geluedenen Entrée deen en nennt. Null-Zieler fir Inkapselung an Dekapselung soen just datt déi observéiert Associatiounen déi Paketen net gedroe hunn; se nennen net den Endpunkt deen d'Propositioun ofgeleent huet a beweise net datt deemools en entspriechenden Entrée existéiert huet.

No enger ofgestëmmter Korrektur bestätegt de gewielte Profil an d'Associatioun, a test dann de tatsächlech erlaabte Service a säi Äntwertwee. Eng Profilpassung erméiglecht d'Verhandlung, an d'Verhandlung ass net déi lescht Zougangskontroll.