Пет улоги на адресата во IPsec профил и која од нив е погрешна

Пет различни задачи добиваат адреса во типична дефиниција на врска и тие не мора да се согласуваат меѓу себе. Администраторите заглавуваат затоа што разумниот инстинкт, сите полиња да покажуваат кон истиот домаќин, е погрешен за најмалку три од нив. Излезот е прво да се именува симптомот, а потоа да се погледне едното или двете полиња што би можеле да го предизвикаат.

Петте задачи, по редоследот по кој се важни

Крајната точка на транспортот е местото каде што се доставува IKE размената. Автентифицираниот идентитет е името што го докажува секоја страна, и тоа се проверува спрема политика, а не спрема табела за рутирање. Заштитените подмрежи се селекторите што одлучуваат кој внатрешен сообраќај припаѓа на тунелот. Потоа е изворот што се користи кога самата порта започнува разговор, и на крајот следниот скок на долниот слој за да се стигне до партнерот.

Ознаките на учесниците како left и right се конвенции за двете страни на врската, а не синоними за локално и оддалечено. Прочитајте го прирачникот на навистина инсталираната имплементација пред да претпоставите дека клучот значи она што друг производ го подразбирал.

Одлука прва: ништо не се воспоставува

Кога во дневниците воопшто не се појавува размена, крајната точка е првиот осомничен: погрешна адреса, филтрирана патека или интерфејс на кој демонот не слуша. Преминете на полињата за идентитет само откако ракувањето ќе стане видливо, зашто идентитетот се оценува внатре во размената, а не пред неа. Филтрираната патека и погрешната адреса изгледаат исто од страната на клиентот, затоа проверете ја страната што слуша пред да уредите нешто. Потврдете дека демонот е врзан за интерфејсот што го очекувате, зашто услуга што слуша на една адреса изгледа точно како блокирана патека.

Јавна адреса забележана преку превод не е истото како идентитетот што го докажува партнерот. Менување адреса за да одговара на она што го покажува фаќањето пакети на далечниот крај е честа и погрешна поправка.

Одлука втора: тунелот е кренат, а сообраќајот умира

Селекторите одлучуваат што влегува во тунелот, и несовпаѓање овде создава врска што успешно преговара додека апликацијата и понатаму паѓа. Далечната страна мора да го именува вашиот заштитен опсег како свој далечен опсег, и токму таму се вовлекуваат превртени вредности.

Прочитајте ги двете конфигурации една до друга пред да уредувате. Локалниот опсег на еден домаќин е далечниот опсег на другиот, и еден заменет пар објаснува тунел што ништо не пренесува. Стеснете го парот пред да ги допрете клучевите: една подмрежа внатре во тунелот и една надвор ви кажуваат дали е виновен селекторот или рутирањето.

Одлука трета: паѓа само сопствениот сообраќај на портата

Сообраќајот проследен за клиенти може да работи беспрекорно додека барањето што самата порта го започнува паѓа, зашто тој тек нема клиентски извор што би го наследил. Поставката за претпочитан извор постои токму за овој случај и таа не е превод на извор: избира изворна адреса наместо да препишува една.

Апликација што експлицитно врзува друга адреса може да ја надмине претпочитаната поставка, затоа потврдете го вистинскиот извор на пакетот пред да заклучите дека поставката се игнорира. Фаќајте на сопствениот интерфејс на портата наместо да и верувате на намерата на конфигурацијата.

Следниот скок е локална инструкција

Следниот скок на долниот слој му кажува на овој домаќин како да стигне до партнерот, а на далечната страна не ѝ е потребна истата вредност. Третирањето како заедничка поставка или тврдо кодирање на стандардна порта се крши во мигот кога рутата се менува или се појавува втор пат.

Некои имплементации нудат посебни вредности овде. Она што прирачникот го наведува за инсталираната верзија е единствениот безбеден одговор, а локалната табела за рутирање е доказот дека тоа работело. Кога партнерот е достапен по име, но не по адреса, тоа несовпаѓање е наодот, а не подробност што треба да се заобиколи.

Читајте го профилот од двата краја

Превртувањето на улогите на хартија е најбрзиот преглед што постои: заменете ги заштитените опсези, задржете го сопствениот следен скок на секоја страна и сопствениот идентитет на секоја страна. Сето она што не го преживува превртувањето веројатно е доделено на погрешна задача.

Потоа тестирајте еден тек по улога: достапност меѓу партнерите, внатрешен клиентски тек и барање што потекнува од портата. Три теста ви кажуваат која задача е погрешно доделена без повторно отворање на конфигурацијата. Додајте го резултатот во тикетот до полето што сте го смениле, зашто следниот инженер ќе го сретне истиот профил.