Piecas adreses lomas IPsec profilā, un kura no tām ir nepareiza
Galapunkts, identitāte, aizsargātais apakštīkls, vārtejas avots un nākamais lēciens katrs atbild uz citu jautājumu. Vispirms sasaistiet simptomu ar lauku.
Tipiskā savienojuma definīcijā pieci dažādi uzdevumi iegūst adresi, un tiem nav jāsaskan savā starpā. Administratori iestrēgst, jo saprātīga intuīcija, visus laukus vērst uz vienu un to pašu resursdatoru, ir nepareiza vismaz trim no tiem. Izeja ir vispirms nosaukt simptomu un pēc tam aplūkot vienu vai divus laukus, kas to varētu radīt.
Pieci uzdevumi, nozīmīguma secībā
Transporta galapunkts ir vieta, kur tiek piegādāta IKE apmaiņa. Autentificētā identitāte ir nosaukums, ko pierāda katra puse, un tas tiek pārbaudīts pret politiku, nevis pret maršrutēšanas tabulu. Aizsargātie apakštīkli ir selektori, kas nosaka, kura iekšējā plūsma pieder tunelim. Tad ir avots, ko izmanto, kad pati vārteja sāk sarunu, un visbeidzot apakšējā slāņa nākamais lēciens, lai sasniegtu partneri.
Dalībnieku apzīmējumi, piemēram, left un right, ir divu savienojuma pušu konvencijas, nevis lokālā un attālā sinonīmi. Izlasiet faktiski instalētās implementācijas rokasgrāmatu, pirms pieņemat, ka atslēga nozīmē to, ko ar to domāja cits produkts.
| Job | Typical key | What fails when it is wrong |
|---|---|---|
| Transport endpoint | left, right | No IKE exchange at all |
| Authenticated identity | leftid, rightid | Exchange starts, peer rejects it |
| Protected subnets | leftsubnet, rightsubnet | Tunnel up, traffic not selected |
| Gateway source | leftsourceip, rightsourceip | Only gateway-originated flows fail |
| Underlay next hop | leftnexthop, rightnexthop | Peer unreachable from this host only |
Pirmais lēmums: nekas neveidojas
Kad žurnālos vispār neparādās apmaiņa, galapunkts ir pirmais aizdomās turamais: nepareiza adrese, filtrēts ceļš vai saskarne, kurā dēmons neklausās. Uz identitātes laukiem pārejiet tikai pēc tam, kad ir redzama rokasspiediena, jo identitāte tiek vērtēta apmaiņas iekšienē, nevis pirms tās. Filtrēts ceļš un nepareiza adrese no klienta puses izskatās vienādi, tāpēc pirms kaut kā labošanas pārbaudiet klausošos pusi. Apstipriniet, ka dēmons ir piesaistīts saskarnei, kuru gaidāt, jo pakalpojums, kas klausās vienā adresē, izskatās tieši tāpat kā bloķēts ceļš.
Publiska adrese, kas novērota tulkošanas gaitā, nav tas pats, ko pierāda partnera identitāte. Adreses maiņa, lai tā atbilstu tam, ko rāda pakešu uztveršana tālajā galā, ir izplatīts un nepareizs labojums.
Otrais lēmums: tunelis ir uzcelts un plūsma mirst
Selektori nosaka, kas iekļūst tunelī, un neatbilstība šeit rada savienojumu, kas veiksmīgi pārrunā, kamēr lietojumprogramma joprojām neizdodas. Tālajai pusei ir jānosauc jūsu aizsargātais diapazons kā savs attālais diapazons, un tieši tur ieslīd apgrieztās vērtības.
Pirms labošanas izlasiet abas konfigurācijas līdzās. Lokālais diapazons vienā resursdatorā ir attālais diapazons otrā, un viens samainīts pāris izskaidro tuneli, kas neko nepārvadā. Sašauriniet pāri pirms atslēgu aiztikšanas: viens apakštīkls tuneļa iekšpusē un viens ārpusē pasaka, vai vainīgs ir selektors vai maršrutēšana.
Trešais lēmums: neizdodas tikai pašas vārtejas plūsma
Klientiem pārsūtītā plūsma var darboties nevainojami, kamēr pašas vārtejas sāktais pieprasījums neizdodas, jo šai plūsmai nav klienta avota, ko mantot. Vēlamā avota iestatījums pastāv tieši šim gadījumam, un tas nav avota tulkojums: tas izvēlas avota adresi, nevis pārraksta to.
Lietojumprogramma, kas skaidri piesaista citu adresi, var pārspēt izvēli, tāpēc pirms secinājuma, ka iestatījums tiek ignorēts, apstipriniet pakešu faktisko avotu. Uzņemiet pašas vārtejas saskarnē, nevis paļaujieties uz konfigurācijas nodomu.
Nākamais lēciens ir lokāla instrukcija
Apakšējā slāņa nākamais lēciens pasaka šim resursdatoram, kā sasniegt partneri, un tālajai pusei tā pati vērtība nav vajadzīga. Uztvert to kā kopīgu iestatījumu vai iekodēt ciet noklusēto vārteju salūzt tajā mirklī, kad maršruts mainās vai parādās otrs ceļš.
Dažas implementācijas šeit piedāvā īpašas vērtības. Tas, ko rokasgrāmata uzskaita instalētajai versijai, ir vienīgā drošā atbilde, un lokālā maršrutēšanas tabula ir pierādījums, ka tas strādāja. Kad partneris ir sasniedzams pēc nosaukuma, bet ne pēc adreses, šī neatbilstība ir atradums, nevis apietams sīkums.
Lasiet profilu no abiem galiem
Lomu apgriešana uz papīra ir ātrākā pārbaude: samainiet aizsargātos diapazonus, paturiet katras puses pašas nākamo lēcienu un katras puses pašas identitāti. Viss, kas neiztur samainīšanu, visticamāk ir piešķirts nepareizajam uzdevumam.
Pēc tam pārbaudiet vienu plūsmu katram lomas: sasniedzamība starp partneriem, iekšēja klienta plūsma un no vārtejas nākošs pieprasījums. Trīs testi pasaka, kurš uzdevums ir nepareizi piešķirts, neatverot konfigurāciju vēlreiz. Pievienojiet rezultātu biļetei blakus laukam, kuru mainījāt, jo nākamais inženieris sastaps to pašu profilu.