MAC stimmt an IKE net iwwereen: d'Prüfung vum gemeinsamen Schlëssel ass feelgeschloen

Ären Cloud VPN-Log weist en Versuch mat engem gemeinsamen Schlëssel, gefollegt vun MAC mismatched, an den éischten Instinkt ass dacks, e Adressproblem ze sichen. An dësem Zweig ass MAC en Authentifikatiounscode fir d'Noriicht: e Wäert, deen iwwer den Austausch mam ausgehandelte Schlëssel berechent gëtt. De Peer huet seng eege Berechnung mam empfangene Wäert verglach, an si waren ënnerschiddlech. Et ass keng Netzwierkkart bedeelegt, an eng Interface-Astellung ännert dee Verglach net.

An der Praxis entstinn et zwou Bedingunge: d'Geheimnisser op den zwou Säiten sinn net deeselwechte Wäert, oder d'Identitéite fir de Geheimnis auszewielen entsprieche sech net. Entscheet wéi eng, andeems dir d'Paar liest, net den eenzegen Tunnel.

Wat d'Etapp beweist

D'Prüfung leeft, nodeems béid Säiten d'Startparameter ausgetosch an sech identifizéiert hunn. Si wielt Kandidat-Gemeinschaftsschlëssel fir déi lokal an déi wäit Identitéit a probéiert déi empfangenen Authentifikatiounsdaten ze validéieren; wann keen validéiert, gëtt d'Diagnos ausginn. Dat ass eng staark Aussag iwwer d'Authentifikatioun an eng schwaach iwwer d'Ursaach, well se net seet, wéi eng Säit falsch ass.

Fréiere Succès geet net an dës Prüfung iwwer. En ofgeschlossenen IKE_SA_INIT oder eng NAT-Detektiounsnotzlaascht, déi déi erwaart Wäerter zréckgëtt, beweist, datt d'Peeren kënne schwätzen. Et beweist näischt doriwwer, ob se e Geheimnis deelen.

Zwou Konfiguratiounsfeeler, eng Noriicht

Déi éischt ass eng richteg Geheimnisabweichung, an et ass meeschtens e Provisionéierungsaccident: e generéierte Wäert, deen op enger Konsole installéiert a op der anerer nei getippt gouf, en Zeechen um Enn, dat op enger Säit iwwerlieft huet, oder en Anféierungszeechen, dat mat engem Paste koum. Déi zweet ass eng Identitéitsabweichung, wou de Geheimnis richteg ass, awer d'Identitéit, déi de Peer presentéiert, eng aner Entrée auswielt, sou datt de richtege Geheimnis ni probéiert gëtt. Béid ginn déiselwecht Linn, dofir kascht Radiäen en Nomëtteg.

Vergläicht d'Paar, ier dir en Geheimnis beréiert. Passt den Tunnel, den Endpunkt vum Peer, d'Zäitfenster an d'wäit Konfiguratioun un, well zwee redundent Tunnelen ënnerschiddlech Geheimnisser kënnen halen an den Ecran virun iech ass vläicht net deen, dee feelgeschloen ass.

NAT-Detektioun ass eng aner Etapp

NAT-Detektioun freet, wéi Paketen nei geschriwwe ginn, net wien de Peer ass. En Client-Gateway hannert NAT authentifizéiert sech nach ëmmer richteg, wann seng konfiguréiert Identitéit déi ass, déi de Peer erwaart, an e NAT-Problem weist sech als Abweichung vum Propositioun oder Port amplaz als feelgeschloenen Authentifikatiounsvergleich.

Huet keng al Aussag iwwer eng Verlagsversioun an eng aktuell Deploiement. Wat NAT-Traverséierung an ärer Versioun erfuerdert, gehéiert zu hirer eegener Dokumentatioun, an den Ausdrock MAC mismatch ass kee Beweis dofir oder dogéint.

Entscheet aus dem Paar, net aus dem Ecran

Liest béid Konfiguratiounen niefteneen mat verstopptem Geheimnis, a stellt dann dräi Froen. Ass d'Identitéit op all Säit genee dat, wat déi aner erwaart, Zeechen fir Zeechen? Benotzen béid Enner déi selwecht IKE-Versioun an déi selwecht Authentifikatiounsmethod? Entspricht den Tunnel, deen feelgeet, der Konfiguratioun, déi dir liest? En Neen op eng dovun entscheet d'Reparatur, ouni de Geheimnis ze beréieren.

Wann all dräi propper sinn, ersetzt de Geheimnis iwwer den approuvéierte Workflow amplaz ronderëm ze editéieren.

Nodeems de Peer sech authentifizéiert

Soubal d'Authentifikatioun geléngt, ass déi nächst Feelfläch d'Kann-Sécherheetsassociatioun: Propositiounen an Traffic-Selektoren. En schonn akzeptéierte Geheimnis ze rotéieren kann e Kannfehler net reparéieren an et verlängert d'Ënnerbriechung. Liest de Kann-Zoustand, dann d'Selektoren a geschützte Beräicher op béide Säiten, a passt d'Cloud VPN-Fehlerbehebung un d'Etapp un, déi tatsächlech feelgeschloen ass.

Korreléiert frësch Loge vun béiden Enner fir dat selwecht Paar an dat selwecht Fënster. Eng Säit eleng gëtt en Urteel ouni den Input vun der anerer, an dat ass d'Mehrdeutegkeet, déi d'Noriicht ursprénglech produzéiert huet.

Wat net ze schléissen ass

Liest d'Noriicht net als Ufuerderung, MAC-Adressen ze änneren, a publizéiert de gemeinsame Geheimnis net, wärend dir Hëllef frot; en Auszuch mam Schlëssel brauch de Schlëssel ewech, net de Log behalen. Huelt och kee Routingfehler un, well Peeren, déi sech net erreechen, produzéieren iwwerhaapt keen Authentifikatiounsvergleich. An generaliséiert keng dokumentéiert Limitatioun vun enger Produktfamill op all IPsec-Implementatioun.

Notéiert d'Paar, dat feelgeet, den Tunnelzoustand virdrun an duerno, a wéi eng vun den zwou Bedingunge dir geännert hutt. Dee Rekord mécht de nächsten Optrieden zu enger fënnef-Minutte-Prüfung.