MAC nesutapimas IKE reiškia, kad bendrojo rakto patikra nepavyko

Jūsų Cloud VPN žurnalas rodo bandymą su bendru raktu, po kurio eina MAC mismatched, o pirmas instinktas dažnai yra ieškoti adreso problemos. Šioje šakoje MAC yra pranešimo autentifikavimo kodas: reikšmė, apskaičiuota per mainus su suderintu raktu. Partneris palygino savo skaičiavimą su gauta reikšme, ir jos skyrėsi. Čia nedalyvauja tinklo plokštė, ir jokia sąsajos nuostata nekeičia to palyginimo.

Praktiškai tai sukelia dvi sąlygos: slaptažodžiai abiejuose galuose nėra ta pati reikšmė, arba tapatybės, naudojamos slaptažodžiui parinkti, nesutampa. Nustatykite, kuri, skaitydami porą, o ne vieną tunelį.

Ką įrodo etapas

Patikra vykdoma po to, kai abi pusės apsikeitė pradiniais parametrais ir prisistatė. Ji parenka kandidatų bendruosius raktus vietinei ir nuotolinei tapatybėms ir bando patvirtinti gautus autentifikavimo duomenis; kai niekas nepatvirtinama, išvedama diagnostika. Tai stiprus teiginys apie autentifikavimą ir silpnas apie priežastį, nes jis nepasako, kuri pusė klysta.

Ankstesnė sėkmė neperkeliama į šią patikrą. Užbaigtas IKE_SA_INIT arba NAT aptikimo naudingoji apkrova, grąžinusi laukiamas reikšmes, įrodo, kad partneriai gali kalbėtis. Tai nieko neįrodo apie tai, ar jie dalijasi slaptažodžiu.

Dvi konfigūracijos klaidos, vienas pranešimas

Pirmoji yra tikras slaptažodžio nesutapimas, ir paprastai tai tiekimo avarija: sugeneruota reikšmė, įdiegta vienoje konsolėje ir perrašyta kitoje, pabaigos simbolis, išlikęs vienoje pusėje, arba kabutė, atėjusi su įklijavimu. Antroji yra tapatybės nesutapimas, kai slaptažodis teisingas, bet partnerio pateikiama tapatybė pasirenka kitą įrašą, todėl teisingas slaptažodis niekada nebandomas. Abi duoda tą pačią eilutę, todėl spėliojimas kainuoja popietę.

Palyginkite porą prieš liesdami bet kurį slaptažodį. Suderinkite tunelį, partnerio galinį tašką, laiko langą ir nuotolinę konfigūraciją, nes du pertekliniai tuneliai gali turėti skirtingus slaptažodžius, o ekranas prieš jus gali būti ne tas, kuris nepavyko.

NAT aptikimas yra kitas etapas

NAT aptikimas klausia, kaip perrašomi paketai, o ne kas yra partneris. Kliento šliuzas už NAT vis dar autentifikuojasi teisingai, kai jo sukonfigūruota tapatybė yra ta, kurios tikisi partneris, o NAT problema pasireiškia kaip pasiūlymo ar prievado nesutapimas, o ne kaip nepavykęs autentifikavimo palyginimas.

Neperkelkite seno teiginio apie vieno tiekėjo leidimą į dabartinį diegimą. Ką NAT praėjimas reikalauja jūsų leidime, priklauso jo paties dokumentacijai, o frazė MAC mismatch nėra įrodymas už ar prieš.

Spręskite iš poros, o ne iš ekrano

Skaitykite abi konfigūracijas greta su paslėptu slaptažodžiu, tada užduokite tris klausimus. Ar kiekvienos pusės tapatybė yra tiksliai tai, ko tikisi kita, simbolis po simbolio? Ar abu galai naudoja tą pačią IKE versiją ir tą patį autentifikavimo metodą? Ar nepavykstantis tunelis atitinka konfigūraciją, kurią skaitote? Ne į bet kurį iš jų nulemia taisymą neliečiant slaptažodžio.

Jei visi trys švarūs, pakeiskite slaptažodį patvirtinta darbo eiga, o ne redaguokite aplink jį.

Po to, kai partneris autentifikuojasi

Kai autentifikavimas pavyksta, kita gedimo sritis yra vaikinė saugumo asociacija: pasiūlymai ir srauto selektoriai. Jau priimto slaptažodžio rotacija negali ištaisyti vaikinio gedimo ir prailgina triktį. Skaitykite vaikinės būseną, tada selektorius ir apsaugotus diapazonus abiejose pusėse, ir suderinkite Cloud VPN trikčių šalinimo gaires su etapu, kuris iš tikrųjų nepavyko.

Koreliuokite naujus žurnalus iš abiejų galų tai pačiai porai ir tam pačiam langui. Viena pusė viena duoda nuosprendį be kitos įvesties, ir būtent šis neapibrėžtumas iš pradžių sukūrė pranešimą.

Ko nedaryti išvadų

Neskaitykite pranešimo kaip reikalavimo keisti MAC adresus ir neskelbkite bendro slaptažodžio, kai prašote pagalbos; ištraukoje su raktu raktas turi būti pašalintas, o ne žurnalas išsaugotas. Nenumanykite ir maršrutizavimo gedimo, nes partneriai, kurie negali vienas kito pasiekti, visai nesukuria autentifikavimo palyginimo. Ir neapibendrinkite vienos produktų šeimos dokumentuoto apribojimo visai IPsec realizacijai.

Užrašykite nepavykusią porą, tunelio būseną prieš ir po, ir kurią iš dviejų sąlygų pakeitėte. Šis įrašas paverčia kitą atvejį penkių minučių patikra.