Ienākošais IPsec partneris neatbilst nevienam profilam? Pārbaudiet četrus laukus

Jūsu partneris ziņo, ka tunelis ir pacelts, jūsu puse neuzrāda nevienu drošības asociāciju, un konfigurācijas failā skaidri ir atbilstošs savienojuma nosaukums. Visi trīs apgalvojumi var būt patiesi vienlaikus. Ienākošā saruna tiek salīdzināta ar darbojošos konfigurāciju, balstoties uz partnera adresi, tā uzrādīto identitāti un piedāvāto datplūsmu. Diskā palicis, nekad neielādēts fails, gaidītajai vērtībai neatbilstoša identitāte vai par vienu prefiksu nobīdīts selektoru pāris — katrs no tiem rada klusumu. Izejiet četras lauku grupas tādā secībā, kādā iet atbildētājs.

Sāciet ar paketi, nevis ar failu

Atbildētājs saņem IKE pieprasījumu, meklē definīciju, kas var pieņemt šo partneri, un pēc tam turpina ar autentifikāciju un datplūsmas izvēli. Ja pirmajā solī neviena ielādētā definīcija neatbilst, saruna beidzas pirms tam, kad lietotāju sasniedz kāda noderīga kļūda.

Tāpēc „konfigurācija izskatās pareizi“ nav pierādījums. Jautājums ir, ko ielādējusi darbojošā pakalpojums un kuru ierakstu tas izvēlējās šim mēģinājumam. Statusa saraksts uz to atbild ar vienu komandu, bet redaktora buferis atbild uz citu jautājumu. Pārbaudiet sarakstu pirms faila atkārtotas maiņas.

Pirmā lauku grupa: definīcija, kas patiešām ielādēta

Pārbaudiet darbojošo stāvokli ar rīku, kam pieder dēmons: statusa komanda, kas uzskaita ielādētos savienojumus, nevis redaktora buferis. Apstipriniet, ka gaidītais ieraksts ir, ir iespējots jūsu vēlamajai palaišanas uzvedībai un tika ielādēts pēc jūsu pēdējās izmaiņas. Saglabāts, bet no jauna neielādēts fails ir visbiežākais iemesls frāzei „izlaboju, un nekas nemainījās“.

Apstipriniet arī, kuru failu lasa pakalpojums. Distribūcijas atšķiras, un nepareizajā iekļāvumā ierakstīts savienojums tiek klusi ignorēts, nevis noraidīts. Ja statusa saraksts vispār neuzrāda jūsu ierakstu, aizdomām vispirms pakļaujiet iekļāvuma ceļu, nevis sintaksi.

Otrā lauku grupa: galapunkti nav identitātes

Adrese, no kuras partneris pieslēdzas, un identitāte, ar kuru tas autentificējas, ir atsevišķi lauki. Resursdatora nosaukums, atšķiramais nosaukums, atslēgas ID un adrese visi var kalpot kā IKE identitāte atkarībā no konfigurācijas, un tiem nemaz nav jāizskatās kā publiskajai adresei.

Galapunktu saskaņošana var ietvert arī NAT skatījumu: tīklā redzamā adrese var atšķirties no adreses, kuru partneris uzskata sev esam. libreswan savienojumu modelī left un right ir divu dalībnieku etiķetes, nevis fiksēta vietējā un attālā secība, tāpēc darbojošas konfigurācijas kopēšana no citas vietas ar adrešu apmaiņu nav uzticams tulkojums.

Pierakstiet abu pušu gaidīto identitāti un to apliecinošo akreditāciju. Ja šīs divas rindas nesakrīt, nekāda adrešu pielāgošana nedos atbilstību.

Trešā lauku grupa: aizsargātā datplūsma

Selektori apraksta iekšējos avota un galamērķa diapazonus, to adrešu saimi un jebkuru protokola vai porta ierobežojumu. Priekšlikums vienas resursdatora adresei nav tas pats pieprasījums kā visam apakštīklam, un apakštīklam konfigurēts atbildētājs to var noraidīt vai sašaurināt.

Kad abi gali nesakrīt, salīdziniet paredzēto plūsmu no abiem skatupunktiem, nevis paplašiniet katru selektoru, lai kaut kas savienotos. Pajautājiet katram administratoram, kādu plūsmu viņš domā aizsargājam, un pēc tam salīdziniet abas atbildes. Neatbilstība parasti ir resursdatora prefikss vienā pusē un apakštīkls otrā. Tunelis, kas atbilst tāpēc, ka tagad aizsargā visu, ir cits drošības lēmums un tāds, ko neviens nav apstiprinājis.

Ceturtā lauku grupa: jūs lasāt vienu implementāciju

Libreswan, vecais Openswan un strongSwan ir ar atšķirīgiem pārvaldības rīkiem, atšķirīgu konfigurācijas sintaksi un atšķirīgu saskaņošanas kārtību. Viena darbojošs piemērs neko precīzu nepasaka par otra profila izvēles prioritāti vai kļūdu formulējumu, tāpēc pārbaudiet ar šī resursdatora dēmona dokumentāciju.

Saistiet vienu mēģinājumu no sākuma līdz beigām: iniciatora avota adresi, piedāvāto identitāti un piedāvātos selektorus — ar atbildētāja izvēles ziņojumu un tā nosaukto ielādēto ierakstu. Nulles iekapsulēšanas un atkapsulēšanas skaitītāji tikai saka, ka novērotās asociācijas nav pārvadājušas šos paketes; tie nenosauc galapunktu, kas noraidīja priekšlikumu, un nepierāda, ka tajā brīdī pastāvēja atbilstošs ieraksts.

Pēc saskaņota labojuma apstipriniet izvēlēto profilu un asociāciju, pēc tam pārbaudiet faktiski atļauto pakalpojumu un tā atbildes ceļu. Profila atbilstība ļauj sarunām, un sarunas nav pēdējā piekļuves pārbaude.