Penki adreso vaidmenys IPsec profilyje ir kuris iš jų neteisingas
Galinis taškas, tapatybė, apsaugotas potinklis, šliuzo šaltinis ir kitas šuolis kiekvienas atsako į skirtingą klausimą. Pirmiausia priskirkite simptomą laukui.
Tipiškame ryšio apraše penkios skirtingos užduotys gauna adresą, ir jos neturi sutapti tarpusavyje. Administratoriai įstringa, nes protinga nuojauta, nukreipti visus laukus į tą patį mazgą, yra neteisinga bent trims iš jų. Išeitis — pirmiausia įvardyti simptomą, o paskui pažvelgti į vieną ar du laukus, galinčius jį sukelti.
Penkios užduotys, svarbos tvarka
Transporto galinis taškas yra vieta, kur pristatomas IKE mainai. Autentifikuota tapatybė yra vardas, kurį įrodo kiekviena pusė, ir jis tikrinamas pagal politiką, o ne pagal maršrutizavimo lentelę. Apsaugoti potinkliai yra selektoriai, nusprendžiantys, kuris vidinis srautas priklauso tuneliui. Tada yra šaltinis, naudojamas kai pats šliuzas pradeda pokalbį, ir galiausiai apatinio sluoksnio kitas šuolis partneriui pasiekti.
Dalyvių žymos, tokios kaip left ir right, yra dviejų ryšio pusių konvencijos, o ne vietinio ir nuotolinio sinonimai. Perskaitykite faktiškai įdiegtos realizacijos vadovą prieš manydami, kad raktas reiškia tai, ką turėjo omenyje kitas produktas.
| Job | Typical key | What fails when it is wrong |
|---|---|---|
| Transport endpoint | left, right | No IKE exchange at all |
| Authenticated identity | leftid, rightid | Exchange starts, peer rejects it |
| Protected subnets | leftsubnet, rightsubnet | Tunnel up, traffic not selected |
| Gateway source | leftsourceip, rightsourceip | Only gateway-originated flows fail |
| Underlay next hop | leftnexthop, rightnexthop | Peer unreachable from this host only |
Pirmas sprendimas: niekas nesusikuria
Kai žurnaluose apskritai nepasirodo jokie mainai, galinis taškas yra pirmasis įtariamasis: neteisingas adresas, filtruotas kelias arba sąsaja, kurioje demonas nesiklauso. Prie tapatybės laukų pereikite tik tada, kai rankos paspaudimas tampa matomas, nes tapatybė vertinama mainų viduje, o ne prieš juos. Filtruotas kelias ir neteisingas adresas iš kliento pusės atrodo vienodai, todėl prieš ką nors redaguodami patikrinkite klausančiąją pusę. Patvirtinkite, kad demonas susietas su sąsaja, kurios tikitės, nes tarnyba, klausanti vienu adresu, atrodo lygiai taip pat kaip užblokuotas kelias.
Viešas adresas, stebimas per vertimą, nėra tas pats, ką įrodo partnerio tapatybė. Adreso keitimas, kad jis atitiktų tai, ką rodo paketų fiksavimas tolimajame gale, yra dažna ir neteisinga pataisa.
Antras sprendimas: tunelis pakeltas, o srautas miršta
Selektoriai nusprendžia, kas patenka į tunelį, ir neatitikimas čia sukuria ryšį, kuris sėkmingai derasi, kol programa vis dar nepavyksta. Tolimoji pusė turi pavadinti jūsų apsaugotą diapazoną savo nuotoliniu diapazonu, ir būtent ten įsibrauna apverstos reikšmės.
Prieš redaguodami perskaitykite abi konfigūracijas greta. Vietinis diapazonas viename mazge yra nuotolinis diapazonas kitame, ir viena sukeista pora paaiškina tunelį, kuris nieko neperduoda. Susiaurinkite porą prieš liesdami raktus: vienas potinklis tunelio viduje ir vienas išorėje pasako, ar kalta selektorius, ar maršrutizavimas.
Trečias sprendimas: nepavyksta tik paties šliuzo srautas
Klientams persiunčiamas srautas gali veikti nepriekaištingai, o šliuzo pačio pradėta užklausa nepavyksta, nes tas srautas neturi kliento šaltinio, kurį paveldėtų. Pageidaujamo šaltinio nustatymas egzistuoja būtent šiam atvejui, ir tai nėra šaltinio vertimas: jis pasirenka šaltinio adresą, o ne perrašo jį.
Programa, kuri aiškiai susieja kitą adresą, gali viršyti nuostatą, todėl prieš darydami išvadą, kad nustatymas ignoruojamas, patvirtinkite tikrąjį paketo šaltinį. Fiksuokite pačio šliuzo sąsajoje, o ne pasitikėkite konfigūracijos ketinimu.
Kitas šuolis yra vietinė instrukcija
Apatinio sluoksnio kitas šuolis pasako šiam mazgui, kaip pasiekti partnerį, o tolimajai pusei tos pačios reikšmės nereikia. Traktuoti jį kaip bendrą nustatymą arba kietai užkoduoti numatytąjį šliuzą sulūžta tą akimirką, kai pasikeičia maršrutas arba atsiranda antras kelias.
Kai kurios realizacijos čia siūlo specialias reikšmes. Tai, ką vadovas išvardija įdiegtai versijai, yra vienintelis saugus atsakymas, o vietinė maršrutizavimo lentelė yra įrodymas, kad tai veikė. Kai partneris pasiekiamas pagal vardą, bet ne pagal adresą, tas neatitikimas ir yra radinys, o ne smulkmena, kurią reikia apeiti.
Skaitykite profilį iš abiejų galų
Vaidmenų apvertimas popieriuje yra greičiausia peržiūra: sukeiskite apsaugotus diapazonus, palikite kiekvienos pusės savo kitą šuolį ir kiekvienos pusės savo tapatybę. Viskas, kas neatlaiko sukeitimo, greičiausiai priskirta neteisingai užduočiai.
Tada išbandykite po vieną srautą kiekvienam vaidmeniui: pasiekiamumas tarp partnerių, vidinis kliento srautas ir šliuzo inicijuota užklausa. Trys bandymai pasako, kuri užduotis priskirta neteisingai, nebeatveriant konfigūracijos. Pridėkite rezultatą prie bilieto šalia pakeisto lauko, nes kitas inžinierius sutiks tą patį profilį.