Дојдовниот IPsec партнер не одговара на ниту еден профил? Проверете четири полиња

Вашиот партнер известува дека тунелот е кренат, вашата страна не покажува никаква безбедносна асоцијација, а конфигурациската датотека очигледно содржи соодветно име на врска. Трите тврдења можат да бидат вистинити истовремено. Дојдовното преговарање се споредува со конфигурацијата што работи, според адресата на партнерот, идентитетот што го презентира и сообраќајот што го предлага. Датотека на дискот што никогаш не била вчитана, идентитет што не одговара на очекуваната вредност или пар селектори поместен за еден префикс — секој од нив создава тишина. Поминете ги четирите групи полиња по редоследот по кој оди одговорникот.

Започнете од пакетот, а не од датотеката

Одговорникот прима IKE барање, бара дефиниција што може да го прифати овој партнер и потоа продолжува со автентикација и избор на сообраќај. Ако на првиот чекор не одговара ниту една вчитана дефиниција, преговарањето завршува пред која било корисна грешка да стигне до корисникот.

Затоа „конфигурацијата изгледа исправно“ не е доказ. Прашањето е што вчитала услугата што работи и кој запис го избрала за овој обид. Списокот на состојба одговара на тоа со една команда, додека баферот на уредувачот одговара на друго прашање. Проверете го списокот пред повторно да ја смените датотеката.

Прва група полиња: дефиницијата што е навистина вчитана

Проверете ја состојбата што работи со алатката што го поседува демонот: команда за состојба што ги наведува вчитаните врски, а не баферот на уредувачот. Потврдете дека очекуваниот запис е присутен, е овозможен за однесувањето при стартување што го сакате и е вчитан по вашето последно уредување. Зачувана но не превчитана датотека е најчестата причина за „го поправив и ништо не се смени“.

Потврдете и која датотека ја чита услугата. Дистрибуциите се разликуваат, а врска запишана во погрешно вклучување се игнорира тивко наместо да се одбие. Ако списокот на состојба воопшто не го прикажува вашиот запис, посомневајте се во патеката за вклучување пред синтаксата.

Втора група полиња: крајните точки не се идентитети

Адресата од која партнерот се поврзува и идентитетот со кој се автентикува се одделни полиња. Името на домаќинот, разликовното име, идентификаторот на клучот и адресата можат сите да послужат како IKE идентитет зависно од конфигурацијата и воопшто не мора да изгледаат како јавната адреса.

Совпаѓањето на крајните точки може да вклучи и NAT поглед: адресата видена на мрежата може да се разликува од адресата што партнерот мисли дека ја има. Во моделот на врски на libreswan, left и right се ознаки за двата учесници, а не фиксен редослед на локален и далечен, затоа копирањето на работна конфигурација од друго место со замена на адресите не е сигурен превод.

Запишете го очекуваниот идентитет на двете страни и уверението што го проверува. Ако тие два реда не се совпаѓаат, никакво дотерување на адресите нема да даде совпаѓање.

Трета група полиња: заштитениот сообраќај

Селекторите ги опишуваат внатрешните опсези на извор и одредиште, нивното семејство адреси и секое ограничување на протокол или порта. Предлог за адреса на еден домаќин не е исто барање како за цела подмрежа, а одговорникот конфигуриран за подмрежата може да го одбие или стесни.

Кога двата краја не се совпаѓаат, споредете го предвидениот тек од двете гледни точки наместо да го проширите секој селектор за нешто да се поврзе. Прашајте го секој администратор кој тек мисли дека го штити, потоа споредете ги двата одговора. Несовпаѓањето обично е префикс на домаќин на едната страна и подмрежа на другата. Тунел што се совпаѓа затоа што сега штити сето е друга безбедносна одлука и таква што никој не ја одобрил.

Четврта група полиња: читате една имплементација

Libreswan, стариот Openswan и strongSwan имаат различни алатки за управување, различна синтакса на конфигурација и различен редослед на совпаѓање. Работен пример од едниот не кажува ништо точно за приоритетот на избор на профил или формулацијата на грешки на другиот, затоа проверете со документацијата за демонот на овој домаќин.

Поврзете еден обид од почеток до крај: изворната адреса на иницијаторот, понудениот идентитет и предложените селектори — со пораката за избор на одговорникот и вчитаниот запис што го именува. Нулти бројачи на капсулирање и декапсулација само кажуваат дека набљудуваните асоцијации не ги пренеле тие пакети; тие не ја именуваат крајната точка што го одбила предлогот и не докажуваат дека во тој момент постоел соодветен запис.

По координирано поправање потврдете го избраниот профил и асоцијација, потоа испробајте ја навистина дозволената услуга и нејзината патека на одговор. Совпаѓањето на профил овозможува преговарање, а преговарањето не е последната проверка на пристапот.