MAC nesakritība IKE nozīmē, ka koplietotās atslēgas pārbaude nav izdevusies

Jūsu Cloud VPN žurnāls rāda mēģinājumu ar koplietotu atslēgu, kam seko MAC mismatched, un pirmā tieksme bieži ir meklēt adreses problēmu. Šajā atzarā MAC ir ziņojuma autentifikācijas kods: vērtība, kas aprēķināta pār apmaiņu ar saskaņoto atslēgu. Partneris salīdzināja savu aprēķinu ar saņemto vērtību, un tās atšķīrās. Šeit nav iesaistīta tīkla karte, un neviens saskarnes iestatījums šo salīdzinājumu nemaina.

Praksē to rada divi nosacījumi: noslēpumi abos galos nav viena un tā pati vērtība, vai identitātes, kas tiek izmantotas noslēpuma izvēlei, neatbilst viena otrai. Izlemiet, kura, lasot pāri, nevis vienu tuneli.

Ko posms pierāda

Pārbaude tiek izpildīta pēc tam, kad abas puses ir apmainījušās ar sākotnējiem parametriem un identifikāciju. Tā izvēlas kandidātu koplietotās atslēgas vietējai un attālinātajai identitātei un mēģina validēt saņemtos autentifikācijas datus; kad neviens nevalidējas, tiek izdota diagnoze. Tas ir spēcīgs apgalvojums par autentifikāciju un vājš par cēloni, jo tas nepasaka, kura puse ir nepareiza.

Iepriekšējie panākumi šajā pārbaudē nepāriet. Pabeigts IKE_SA_INIT vai NAT noteikšanas kravnesība, kas atgriezusi gaidītās vērtības, pierāda, ka partneri var sarunāties. Tas neko nepierāda par to, vai viņi dala noslēpumu.

Divas konfigurācijas kļūdas, viens ziņojums

Pirmā ir īsta noslēpuma nesakritība, un parasti tas ir nodrošināšanas negadījums: ģenerēta vērtība, kas instalēta vienā konsolē un pārrakstīta otrā, beigu rakstzīme, kas izdzīvoja vienā pusē, vai pēdiņa, kas nāca līdzi ielīmēšanai. Otrā ir identitātes nesakritība, kur noslēpums ir pareizs, bet partnera uzrādītā identitāte izvēlas citu ierakstu, tāpēc pareizais noslēpums nekad netiek izmēģināts. Abas dod vienu un to pašu rindu, tāpēc minēšana izmaksā pēcpusdienu.

Salīdziniet pāri pirms jebkura noslēpuma aizskaršanas. Saskaņojiet tuneli, partnera galapunktu, laika logu un attālināto konfigurāciju, jo divi lieki tuneļi var glabāt atšķirīgus noslēpumus, un ekrāns jums priekšā var nebūt tas, kas neizdevās.

NAT noteikšana ir cits posms

NAT noteikšana jautā, kā tiek pārrakstīti paketes, nevis kas ir partneris. Klienta vārteja aiz NAT joprojām autentificējas pareizi, ja tās konfigurētā identitāte ir tā, ko partneris gaida, un NAT problēma izpaužas kā priekšlikuma vai porta nesakritība, nevis kā neizdevies autentifikācijas salīdzinājums.

Nepārnesiet vecu apgalvojumu par vienu piegādātāja laidienu uz pašreizējo izvietojumu. Tas, ko NAT caureja prasa jūsu laidienā, pieder pie tā paša dokumentācijas, un frāze MAC mismatch nav pierādījums par vai pret.

Izlemiet no pāra, nevis no ekrāna

Lasiet abas konfigurācijas blakus ar paslēptu noslēpumu, pēc tam uzdodiet trīs jautājumus. Vai identitāte katrā pusē ir tieši tā, ko gaida otra, rakstzīmi pa rakstzīmei? Vai abi gali izmanto to pašu IKE versiju un to pašu autentifikācijas metodi? Vai nesaistošais tunelis atbilst konfigurācijai, ko lasāt? Nē uz jebkuru no tiem izlemj labojumu, nepieskaroties noslēpumam.

Ja visi trīs ir tīri, aizstājiet noslēpumu ar apstiprināto darbplūsmu, nevis rediģējiet ap to.

Pēc tam, kad partneris autentificējas

Kad autentifikācija izdodas, nākamā atteices virsma ir bērna drošības asociācija: priekšlikumi un trafika selektori. Jau pieņemta noslēpuma rotācija nevar salabot bērna atteici un pagarina pārtraukumu. Lasiet bērna stāvokli, pēc tam selektorus un aizsargātos diapazonus abās pusēs, un saskaņojiet Cloud VPN problēmu novēršanas norādes ar posmu, kas faktiski neizdevās.

Korelējiet svaigus žurnālus no abiem galiem tam pašam pārim un tam pašam logam. Viena puse viena sniedz spriedumu bez otras ievades, un tieši šī neskaidrība sākotnēji radīja ziņojumu.

Ko nevajadzētu secināt

Nelasiet ziņojumu kā prasību mainīt MAC adreses un nepublicējiet koplietoto noslēpumu, kamēr lūdzat palīdzību; izrakstā ar atslēgu atslēga ir jānoņem, nevis žurnāls jāsaglabā. Nepieņemiet arī maršrutēšanas kļūdu, jo partneri, kas nevar viens otru sasniegt, vispār nerada autentifikācijas salīdzinājumu. Un nevispāriniet vienas produktu saimes dokumentēto ierobežojumu uz katru IPsec implementāciju.

Pierakstiet neizdevušos pāri, tuneļa stāvokli pirms un pēc, un kuru no diviem nosacījumiem mainījāt. Šis ieraksts pārvērš nākamo gadījumu piecu minūšu pārbaudē.