Įeinantis IPsec partneris neatitinka jokio profilio? Patikrinkite keturis laukus

Jūsų partneris praneša, kad tunelis pakeltas, jūsų pusė nerodo jokios saugumo asociacijos, o konfigūracijos faile aiškiai yra atitinkantis ryšio pavadinimas. Visi trys teiginiai gali būti teisingi vienu metu. Įeinantis derybos lyginamos su veikiančia konfigūracija pagal partnerio adresą, jo pateikiamą tapatybę ir siūlomą srautą. Diske likęs, niekada neįkeltas failas, laukiamos reikšmės neatitinkanti tapatybė arba vienu priešdėliu pasislinkusi selektorių pora — kiekvienas jų sukuria tylą. Pereikite keturias laukų grupes ta tvarka, kuria eina atsakiklis.

Pradėkite nuo paketo, o ne nuo failo

Atsakiklis gauna IKE užklausą, ieško apibrėžimo, galinčio priimti šį partnerį, ir tada tęsia autentifikavimą bei srauto parinkimą. Jei pirmame žingsnyje nė vienas įkeltas apibrėžimas neatitinka, derybos baigiasi anksčiau, nei naudinga klaida pasiekia naudotoją.

Todėl „konfigūracija atrodo teisingai“ nėra įrodymas. Klausimas yra, ką įkėlė veikianti paslauga ir kurį įrašą ji pasirinko šiam bandymui. Būsenos sąrašas į tai atsako viena komanda, o redaktoriaus buferis atsako į kitą klausimą. Patikrinkite sąrašą prieš vėl keisdami failą.

Pirmoji laukų grupė: apibrėžimas, kuris tikrai įkeltas

Patikrinkite veikiančią būseną priemone, kuriai priklauso demonas: būsenos komanda, išvardijanti įkeltus ryšius, o ne redaktoriaus buferis. Patvirtinkite, kad laukiamas įrašas yra, įjungtas jūsų numatytam paleidimo elgesiui ir įkeltas po paskutinio jūsų pakeitimo. Išsaugotas, bet neperkeltas failas yra dažniausia priežastis frazės „pataisiau ir niekas nepasikeitė“.

Taip pat patvirtinkite, kurį failą skaito paslauga. Distribucijos skiriasi, o į neteisingą įtraukimą įrašytas ryšys tyliai ignoruojamas, o ne atmetamas. Jei būsenos sąrašas visai nerodo jūsų įrašo, įtarkite įtraukimo kelią prieš sintaksę.

Antroji laukų grupė: galiniai taškai nėra tapatybės

Adresas, iš kurio partneris jungiasi, ir tapatybė, kuria jis autentifikuojasi, yra atskiri laukai. Hosto vardas, skiriamasis vardas, rakto ID ir adresas visi gali tarnauti kaip IKE tapatybė priklausomai nuo konfigūracijos, ir jie visai neturi atrodyti kaip viešasis adresas.

Galinių taškų atitikimas gali apimti ir NAT vaizdą: tinkle matomas adresas gali skirtis nuo adreso, kurį partneris mano turįs. libreswan ryšių modelyje left ir right yra dviejų dalyvių etiketės, o ne fiksuota vietinio ir nuotolinio tvarka, todėl veikiančios konfigūracijos kopijavimas iš kitos vietos su adresų sukeitimu nėra patikimas vertimas.

Užrašykite abiejų pusių laukiamą tapatybę ir ją patvirtinantį įgaliojimą. Jei šios dvi eilutės nesutampa, joks adresų derinimas neduos atitikimo.

Trečioji laukų grupė: saugomas srautas

Selektoriai aprašo vidinius šaltinio ir paskirties diapazonus, jų adresų šeimą ir bet kokį protokolo ar prievado apribojimą. Pasiūlymas vieno hosto adresui nėra ta pati užklausa kaip visam potinkliui, o potinkliui sukonfigūruotas atsakiklis gali ją atmesti arba susiaurinti.

Kai du galai nesutampa, palyginkite numatomą srautą iš abiejų požiūrių, o ne plėskite kiekvieną selektorių, kad kas nors prisijungtų. Paklauskite kiekvieno administratoriaus, kokį srautą jis mano saugąs, tada palyginkite abu atsakymus. Neatitikimas paprastai yra hosto priešdėlis vienoje pusėje ir potinklis kitoje. Tunelis, kuris atitinka todėl, kad dabar saugo viską, yra kitas saugumo sprendimas ir toks, kurio niekas nepatvirtino.

Ketvirtoji laukų grupė: jūs skaitote vieną įgyvendinimą

Libreswan, senasis Openswan ir strongSwan turi skirtingus valdymo įrankius, skirtingą konfigūracijos sintaksę ir skirtingą atitikimo tvarką. Vieno veikiantis pavyzdys nieko tikslaus nesako apie kito profilio pasirinkimo prioritetą ar klaidų formuluotes, todėl tikrinkite šio hosto demono dokumentacija.

Susiekite vieną bandymą nuo pradžios iki pabaigos: iniciatoriaus šaltinio adresą, pasiūlytą tapatybę ir pasiūlytus selektorius — su atsakiklio pasirinkimo pranešimu ir jo įvardytu įkeltu įrašu. Nuliniai inkapsuliavimo ir dekapsuliavimo skaitikliai tik sako, kad stebėtos asociacijos nenešė tų paketų; jie neįvardija galinio taško, atmetusio pasiūlymą, ir neįrodo, kad tuo metu egzistavo atitinkantis įrašas.

Po suderinto pataisymo patvirtinkite pasirinktą profilį ir asociaciją, tada išbandykite faktiškai leidžiamą paslaugą ir jos atsakymo kelią. Profilio atitikimas leidžia derybas, o derybos nėra paskutinė prieigos patikra.