Kad IKEv2 atgriež TS_UNACCEPTABLE, salīdziniet īstos apakštīklus

Lasiet TS_UNACCEPTABLE kā pārklājuma nesaskaņu, nevis bojātu profilu. Vārteja saka, ka abas puses nespēja vienoties, kuras adreses šis tunelis drīkst pārnest. IKE SA tajā brīdī jau var būt uzcelta, tāpēc klients var izskatīties savienots bez nevienas pakārtotās SA aiz tā. Kad to tā ietverat, darbs kļūst mehānisks. Pierakstiet abu pušu paredzētos prefiksus, salīdziniet tos vienā virzienā un sašauriniet, līdz tie krustojas.

Vispirms pierakstiet paredzētos pārus

Pirms pieskarties konfigurācijai, uzskaitiet četras vērtības: iniciatora avota diapazonu, tā galamērķa diapazonu un to pašu pāri, kā to redz atbildētājs. Pierakstiet arī katra adrešu saimi. IPv4 diapazons un IPv6 diapazons ir dažādi selektoru veidi, un neviens nevar tikt iesalocīts otra lietderīgajā kravā.

Pievienojiet jebkuru protokola vai porta ierobežojumu, ko nes politika. Noteikums, kas atļauj tikai TCP 445 uz failu serveri, apraksta šaurāku kopu nekā apakštīkls, kurā tas atrodas. Ja to izlaidīsiet no savām piezīmēm, sarunu rezultāts izskatīsies nekonsekvents tādu iemeslu dēļ, kurus neredzat.

Apgrieziet apzīmējumus pirms to salīdzināšanas

Vietējais un attālinātais ir relatīvi apzīmējumi. Klienta vietējais prefikss ir vārtejas attālinātais diapazons, un vārtejas vietējais diapazons ir klienta attālinātais. Tāpēc ekrānuzņēmumi no abiem galiem nekad nesakrīt, un to burtiska salīdzināšana ir ierastais veids, kā zaudēt pēcpusdienu.

Atbildētājs var sašaurināt piedāvājumu līdz pieņemamai apakškopai, tā vietā lai to noraidītu. Šis iznākums ir sliktāks par tīru neveiksmi, jo tas darbojas uz pusi. Pieprasiet 10.0.0.0/16, kad politika atļauj 10.0.5.0/24, un jūs varat palikt ar pakārtoto SA, kas aptver tikai to /24. Atbild viens resursdators, viss pārējais paliek ārpusē, un nekas klientā to nepasaka. Pirms secināt, ka sarunas izdevās, lasiet pieņemtos selektorus, nevis pieprasītos.

Road warrior profili, kas pieprasa noklusējuma maršrutu, šeit nonāk pastāvīgi. Vārteja, kas būvēta sadalītai piekļuvei, sašaurina pilna diapazona piedāvājumu līdz saviem apakštīkliem, un klientam ir jāpieņem sašaurinātais rezultāts vai skaļi jāizgāžas.

Nolasiet noraidījumu no viena mēģinājuma

Savāciet abus žurnālus no viena un tā paša savienojuma mēģinājuma. Saglabātais profils parāda, ko jūs konfigurējāt, nevis ko ierosināja, un strongSwan swanctl --log izdrukā saņemto paziņojumu kopā ar selektoriem, ko tas nesa.

Pēc tam pārbaudiet, kas faktiski tika instalēts. swanctl --list-sas parāda pakārtotās SA selektorus, un ip xfrm policy parāda tos pašus diapazonus kā kodola politikas ierakstus. Pakārtotā SA šajā sarakstā ar selektoriem, kurus neplānojāt, ir sašaurināšanas notikums; pakārtotās SA neesamība kopā ar TS_UNACCEPTABLE žurnālā ir noraidījums.

Kamēr esat tur, atdaliet tuvos kaimiņus. INVALID_SELECTORS sūdzas par selektoru izveidotas pakārtotās SA iekšpusē, bet INTERNAL_ADDRESS_FAILURE nozīmē, ka atbildētājs nevarēja piešķirt virtuālu adresi, kas ir baseina, nevis pārklājuma problēma.

Pārbaudiet, kas klusi samazina kopu

Trīs lietas samazina selektoru kopu, neko nesakot. Atbildētāja politika ir pirmā, izmantojot apakštīklu sarakstus, grupu noteikumus vai atļauju katram lietotājam, kas piedāvājumu samazina līdz apakškopai. Adrešu saime ir otrā: dubultās kaudzes klients bieži piedāvā IPv6 blakus IPv4 un saņem noraidījumu diapazoniem, kurus vārteja nekad nav konfigurējusi.

Protokola un porta ierobežojumi ir trešie. Kur politika atļauj tikai TCP 445, pakārtotā SA var pacelties, kamēr ICMP un UDP paliek ārpus tās, un lietotājs ziņo par salauztu tuneli, lai gan atļauts bija tikai viens protokols.

Tāpēc tikai adrešu paplašināšana nevar salabot portu ierobežotu politiku, un tieši šis gadījums visticamāk pārdzīvos trīs traucējummeklēšanas kārtas nemainīts.

Pierādiet pārklājumu ar piemērotu satiksmi

Pēc pakārtotās SA instalēšanas nosūtiet vienu pieprasījumu, kas noteikti iekrīt pieņemtajos diapazonos. Vērojiet skaitītājus, nevis statusa ikonu: ip -s xfrm state un skaitītāji aiz ip xfrm policy pieaug, kad pakete tiek saskaņota un aizsargāta. Baitu skaits, kas pēc reālas satiksmes paliek nulle, nozīmē, ka kodols nekad nav izvēlējies šo politiku.

Šī nulle ir maršrutēšanas vai politiku secības problēma, nevis kriptogrāfijas. Tā arī izskatās tieši tāpat kā selektora noraidījums no lietotāja vietas, tāpēc skaitītājus ir vērts savākt pirms profila atkārtotas atvēršanas. Skaitītāji, kas pieaug tikai vienā virzienā, norāda uz atgriešanās ceļu.

Pabeidziet, ierakstot pieņemto pāri biļetē, blakus diapazonam, kas sākotnēji tika pieprasīts. Turiet izvēli tik šauru, cik prasa prasība, jo kļūdas novēršana, aizstājot privātu diapazonu ar visām adresēm, piešķir daudz vairāk piekļuves, nekā kontam tika apstiprināts.