Несовпаѓање на MAC во IKE значи дека проверката на заедничкиот клуч не успеала

Вашиот дневник на Cloud VPN покажува обид со заеднички клуч проследен со MAC mismatched, а првиот инстинкт често е барање проблем со адресата. Во оваа гранка MAC е код за автентикација на порака: вредност пресметана врз размената со договорениот клуч. Противникот ја спореди својата пресметка со добиената вредност и тие се разликуваа. Овде не е вклучена мрежна карта и ниту едно поставување на интерфејсот не ја менува таа споредба.

Во практиката тоа го предизвикуваат два услови: тајните на двата краја не се иста вредност, или идентитетите што се користат за избор на тајната не се совпаѓаат. Одлучете кој, читајќи го парот, а не единечниот тунел.

Што докажува фазата

Проверката се извршува откако двете страни ги размениле почетните параметри и се идентификувале. Таа избира кандидат-заеднички клучеви за локалниот и оддалечениот идентитет и се обидува да ги валидира добиените податоци за автентикација; кога ниту еден не валидира, се издава дијагностиката. Тоа е силна изјава за автентикацијата и слаба за причината, бидејќи не кажува која страна е погрешна.

Претходниот успех не се пренесува во оваа проверка. Завршен IKE_SA_INIT или корисен товар за откривање на NAT што ги вратил очекуваните вредности докажува дека противниците можат да разговараат. Тоа не докажува ништо за тоа дали делат тајна.

Две конфигурациски грешки, една порака

Првата е вистинско несовпаѓање на тајната и обично е незгода при обезбедување: генерирана вредност инсталирана на една конзола и повторно внесена на другата, заден знак што преживеал на едната страна, или наводник што дошол со лепење. Втората е несовпаѓање на идентитетот, каде тајната е точна, но идентитетот што го презентира противникот избира друг запис, па точната тајна никогаш не се пробува. Двете даваат ист ред, затоа погодувањето чини едно попладне.

Спорете го парот пред да допрете која било тајна. Усогласете го тунелот, крајната точка на противникот, временскиот прозорец и оддалечената конфигурација, бидејќи два резервни тунели можат да држат различни тајни, а екранот пред вас можеби не е тој што не успеал.

Откривањето на NAT е друга фаза

Откривањето на NAT прашува како се препишуваат пакетите, а не кој е противникот. Клиентската порта зад NAT уште се автентикува правилно кога нејзиниот конфигуриран идентитет е оној што противникот го очекува, а проблемот со NAT се појавува како несовпаѓање на предлогот или портата, а не како неуспешна споредба за автентикација.

Не пренесувајте стара изјава за едно издание на добавувач во тековно распоредување. Она што го бара минувањето низ NAT во вашето издание припаѓа на неговата сопствена документација, а фразата MAC mismatch не е доказ за или против.

Одлучете од парот, не од екранот

Прочитајте ги двете конфигурации една до друга со скриена тајна, потоа поставете три прашања. Дали идентитетот на секоја страна е точно она што го очекува другата, знак по знак? Дали двата краја користат иста верзија на IKE и ист метод на автентикација? Дали тунелот што не успева одговара на конфигурацијата што ја читате? Не на било кое од нив ја одредува поправката без допирање на тајната.

Ако сите три се чисти, заменете ја тајната преку одобрениот работен тек наместо да уредувате околу неа.

Откако противникот ќе се автентикува

Штом автентикацијата успее, следната површина на дефект е детската безбедносна асоцијација: предлози и селектори за сообраќај. Ротирањето на веќе прифатена тајна не може да поправи детски дефект и го продолжува прекинот. Прочитајте ја состојбата на детето, потоа селекторите и заштитените опсези на двете страни, и усогласете ги упатствата за решавање проблеми со Cloud VPN со фазата што навистина не успеала.

Поврзете свежи дневници од двата краја за истиот пар и истиот прозорец. Едната страна сама дава пресуда без влезот на другата, и токму таа двосмисленост ја создаде пораката на почетокот.

Што не треба да се заклучи

Не читајте ја пораката како барање да се сменат MAC адресите и не објавувајте ја заедничката тајна додека барате помош; извадокот што го содржи клучот треба да го има клучот отстранет, а не дневникот зачуван. Не претпоставувајте ниту дефект во рутирањето, бидејќи противниците што не можат да стигнат еден до друг воопшто не создаваат споредба за автентикација. И не генерализирајте документирано ограничување на едно производно семејство на секоја IPsec имплементација.

Забележете го парот што не успеал, состојбата на тунелот пред и потоа, и кој од двата услови го сменивте. Тој запис го претвора следниот случај во петминутна проверка.