Kai IKEv2 grąžina TS_UNACCEPTABLE, palyginkite tikruosius potinklius

Skaitykite TS_UNACCEPTABLE kaip aprėpties nesutarimą, o ne kaip sugadintą profilį. Tinklo vartai sako, kad dvi šalys nesutarė, kokius adresus šis tunelis gali nešti. IKE SA tuo metu jau gali būti pakilusi, todėl klientas gali atrodyti prisijungęs be jokios pavaldžios SA už jo. Kai taip suformuluosite, darbas tampa mechaniškas. Užrašykite abiejų pusių numatytus prefiksus, palyginkite juos viena kryptimi ir siaurinkite, kol jie susikirs.

Pirmiausia užrašykite numatytas poras

Prieš liesdami konfigūraciją, išvardykite keturias reikšmes: iniciatoriaus šaltinio intervalą, jo paskirties intervalą ir tą pačią porą, matomą atsakovo pusėje. Užrašykite ir kiekvieno adresų šeimą. IPv4 intervalas ir IPv6 intervalas yra skirtingi selektorių tipai, ir nė vienas negali būti sulankstytas į kito naudingąją apkrovą.

Pridėkite bet kokį protokolo ar prievado apribojimą, kurį neša politika. Taisyklė, leidžianti tik TCP 445 į failų serverį, apibūdina siauresnę aibę nei potinklis, kuriame ji yra. Jei to neįtrauksite į savo užrašus, derybų rezultatas atrodys nenuoseklus dėl priežasčių, kurių nematote.

Apverskite etiketes prieš jas lygindami

Vietinis ir nuotolinis yra santykinės etiketės. Kliento vietinis prefiksas yra vartų nuotolinis intervalas, o vartų vietinis intervalas yra kliento nuotolinis. Todėl ekrano kopijos iš abiejų galų niekada nesutampa, o jų tiesioginis palyginimas yra įprastas būdas prarasti popietę.

Atsakovas gali susiaurinti pasiūlymą iki priimtino poaibio, užuot jį atmetęs. Tas rezultatas blogesnis už švarų nepavykimą, nes jis veikia pusiau. Paprašykite 10.0.0.0/16, kai politika leidžia 10.0.5.0/24, ir galite likti su pavaldžia SA, kuri apima tik tą /24. Atsako vienas hostas, visa kita lieka už ribų, ir niekas kliente to nepasako. Prieš darydami išvadą, kad derybos pavyko, skaitykite priimtus selektorius, o ne prašytus.

Road warrior profiliai, prašantys numatytojo maršruto, čia krenta nuolat. Vartai, skirti padalytai prieigai, susiaurina viso intervalo pasiūlymą iki savo potinklių, o klientas turi priimti susiaurintą rezultatą arba garsiai nepavykti.

Perskaitykite atmetimą iš vieno bandymo

Surinkite abu žurnalus iš to paties prisijungimo bandymo. Išsaugotas profilis rodo, ką sukonfigūravote, o ne ką pasiūlė, o strongSwan swanctl --log išspausdina gautą pranešimą kartu su selektoriais, kuriuos jis nešė.

Tada patikrinkite, kas iš tikrųjų buvo įdiegta. swanctl --list-sas rodo pavaldžios SA selektorius, o ip xfrm policy rodo tuos pačius intervalus kaip branduolio politikos įrašus. Pavaldi SA tame sąraše su selektoriais, kurių nenumatėte, yra susiaurėjimo įvykis; pavaldžios SA nebuvimas ir TS_UNACCEPTABLE žurnale yra atmetimas.

Kol ten esate, atskirkite artimus kaimynus. INVALID_SELECTORS skundžiasi selektoriumi nusistovėjusioje pavaldžioje SA, o INTERNAL_ADDRESS_FAILURE reiškia, kad atsakovas negalėjo skirti virtualaus adreso, tai baseino, o ne aprėpties problema.

Patikrinkite, kas tyliai sumažina aibę

Trys dalykai sumažina selektorių aibę nieko nesakydami. Atsakovo politika yra pirmoji, per potinklių sąrašus, grupės taisykles arba vartotojo lygio autorizaciją, kurie pasiūlymą sumažina iki poaibio. Adresų šeima yra antroji: dvigubos krūvos klientas dažnai siūlo IPv6 šalia IPv4 ir gauna atmetimą intervalams, kurių vartai niekada nesukonfigūravo.

Protokolo ir prievado apribojimai yra trečioji. Kai politika leidžia tik TCP 445, pavaldi SA gali pakilti, o ICMP ir UDP lieka už jos, ir vartotojas praneša apie sulaužytą tunelį, nors buvo leistas tik vienas protokolas.

Todėl vien adresų platinimas negali pataisyti prievadu apribotos politikos, ir būtent šis atvejis labiausiai tikėtinai išgyvens tris trikčių šalinimo raundus nepakitęs.

Įrodykite aprėptį tinkamu srautu

Įdiegus pavaldžią SA, nusiųskite vieną užklausą, kuri tikrai patenka į priimtus intervalus. Stebėkite skaitiklius, o ne būsenos piktogramą: ip -s xfrm state ir skaitikliai už ip xfrm policy didėja, kai paketas suderinamas ir apsaugomas. Baitų skaičius, kuris po tikro srauto lieka nulis, reiškia, kad branduolys niekada nepasirinko tos politikos.

Tas nulis yra maršrutizavimo arba politikos eilės problema, o ne kriptografijos. Jis taip pat atrodo visiškai taip pat kaip selektoriaus atmetimas iš vartotojo vietos, todėl skaitiklius verta surinkti prieš vėl atidarant profilį. Skaitikliai, didėjantys tik viena kryptimi, rodo atgalinį kelią.

Pabaikite įrašę priimtą porą į bilietą, šalia iš pradžių prašyto intervalo. Laikykite pasirinkimą tokį siaurą, koks reikalavimas, nes klaidos pašalinimas pakeičiant privatų intervalą visais adresais suteikia daug daugiau prieigos, nei buvo patvirtinta paskyrai.