IKEv2 TS_UNACCEPTABLE തിരികെ നൽകുമ്പോൾ യഥാർത്ഥ സബ്നെറ്റുകൾ താരതമ്യം ചെയ്യുക

TS_UNACCEPTABLE എന്നത് കേടായ പ്രൊഫൈൽ അല്ല, കവറേജിനെക്കുറിച്ചുള്ള അഭിപ്രായവ്യത്യാസമായി വായിക്കുക. ഈ ടണൽ ഏത് വിലാസങ്ങൾ വഹിക്കാം എന്നതിനെക്കുറിച്ച് ഇരുവശവും യോജിച്ചില്ലെന്ന് ഗേറ്റ്വേ പറയുന്നു. ആ നിമിഷത്തിൽ IKE SA ഇതിനകം ഉയർന്നിരിക്കാം, അതുകൊണ്ടാണ് പിന്നിൽ ഒരു ചൈൽഡ് SA ഇല്ലാതെയും ക്ലയന്റ് ബന്ധിപ്പിച്ചതായി തോന്നുന്നത്. അങ്ങനെ ചട്ടക്കൂട് ചെയ്താൽ ജോലി യാന്ത്രികമാകും. ഇരുവശത്തിന്റെയും ഉദ്ദേശിക്കുന്ന പ്രിഫിക്സുകൾ എഴുതുക, ഒരു ദിശയിൽ താരതമ്യം ചെയ്യുക, അവ വിഭജിക്കുന്നതുവരെ ചുരുക്കുക.

ആദ്യം ഉദ്ദേശിക്കുന്ന ജോടികൾ എഴുതുക

കോൺഫിഗറേഷൻ തൊടുന്നതിന് മുൻപ് നാല് മൂല്യങ്ങൾ പട്ടികപ്പെടുത്തുക: ആരംഭിക്കുന്നവന്റെ ഉറവിട ശ്രേണി, അതിന്റെ ലക്ഷ്യ ശ്രേണി, ഉത്തരം നൽകുന്നവന്റെ ഭാഗത്തുനിന്ന് കാണുന്ന അതേ ജോടി. ഓരോന്നിന്റെയും വിലാസ കുടുംബവും രേഖപ്പെടുത്തുക. IPv4 ശ്രേണിയും IPv6 ശ്രേണിയും വ്യത്യസ്ത തിരഞ്ഞെടുക്കൽ തരങ്ങളാണ്, ഒന്നിനെ മറ്റൊന്നിന്റെ പേലോഡിലേക്ക് മടക്കാനാവില്ല.

നയം വഹിക്കുന്ന ഏത് പ്രോട്ടോക്കോൾ അല്ലെങ്കിൽ പോർട്ട് നിയന്ത്രണവും ചേർക്കുക. ഫയൽ സർവറിലേക്ക് TCP 445 മാത്രം അനുവദിക്കുന്ന നിയമം, അത് ഇരിക്കുന്ന സബ്നെറ്റിനെക്കാൾ ഇടുങ്ങിയ ഗണത്തെ വിവരിക്കുന്നു. ഇത് നിങ്ങളുടെ കുറിപ്പുകളിൽനിന്ന് ഒഴിവാക്കിയാൽ, കരാറിന്റെ ഫലം നിങ്ങൾ കാണാത്ത കാരണങ്ങളാൽ പൊരുത്തമില്ലാത്തതായി തോന്നും.

താരതമ്യം ചെയ്യുന്നതിന് മുൻപ് ലേബലുകൾ മാറ്റുക

പ്രാദേശികവും ദൂരവും ആപേക്ഷിക ലേബലുകളാണ്. ക്ലയന്റിന്റെ പ്രാദേശിക പ്രിഫിക്സ് ഗേറ്റ്വേയുടെ ദൂര ശ്രേണിയാണ്, ഗേറ്റ്വേയുടെ പ്രാദേശിക ശ്രേണി ക്ലയന്റിന്റെ ദൂര ശ്രേണിയാണ്. അതുകൊണ്ട് ഇരു അറ്റങ്ങളിലെയും സ്ക്രീൻഷോട്ടുകൾ ഒരിക്കലും ഒത്തുപോകില്ല, അവ അക്ഷരാർത്ഥത്തിൽ താരതമ്യം ചെയ്യുന്നത് ഒരു ഉച്ചയ്ക്ക് നഷ്ടപ്പെടുത്തുന്ന സാധാരണ വഴിയാണ്.

ഉത്തരം നൽകുന്നവൻ നിരസിക്കുന്നതിനു പകരം ഒരു നിർദ്ദേശം സ്വീകാര്യമായ ഉപഗണത്തിലേക്ക് ചുരുക്കിയേക്കാം. ആ ഫലം വൃത്തിയായ പരാജയത്തേക്കാൾ മോശമാണ്, കാരണം അത് പകുതി മാത്രം പ്രവർത്തിക്കുന്നു. നയം 10.0.5.0/24 അനുവദിക്കുമ്പോൾ 10.0.0.0/16 ആവശ്യപ്പെട്ടാൽ, ആ /24 മാത്രം ഉൾക്കൊള്ളുന്ന ചൈൽഡ് SAയിൽ അവസാനിച്ചേക്കാം. ഒരു ഹോസ്റ്റ് മാത്രം ഉത്തരം നൽകുന്നു, ബാക്കിയെല്ലാം പുറത്തുപോകുന്നു, ക്ലയന്റിൽ ഒന്നും അത് പറയുന്നുമില്ല. കരാർ വിജയിച്ചുവെന്ന് തീരുമാനിക്കുന്നതിന് മുൻപ് ആവശ്യപ്പെട്ട തിരഞ്ഞെടുപ്പുകളല്ല, സ്വീകരിച്ചവ വായിക്കുക.

ഡിഫോൾട്ട് റൂട്ട് ആവശ്യപ്പെടുന്ന റോഡ്-വാരിയർ പ്രൊഫൈലുകൾ ഇവിടെ സ്ഥിരമായി എത്തുന്നു. വിഭജിത പ്രവേശനത്തിനായി നിർമ്മിച്ച ഗേറ്റ്വേ പൂർണ ശ്രേണിയുള്ള നിർദ്ദേശം സ്വന്തം സബ്നെറ്റുകളിലേക്ക് ചുരുക്കുന്നു, ക്ലയന്റ് ചുരുക്കിയ ഫലം സ്വീകരിക്കണം അല്ലെങ്കിൽ ഉറക്കെ പരാജയപ്പെടണം.

ഒരു ശ്രമത്തിൽനിന്ന് നിരസിക്കൽ വായിക്കുക

ഒരേ കണക്ഷൻ ശ്രമത്തിൽനിന്നുള്ള രണ്ട് ലോഗുകളും ശേഖരിക്കുക. സേവ് ചെയ്ത പ്രൊഫൈൽ നിങ്ങൾ എന്ത് കോൺഫിഗർ ചെയ്തു എന്ന് കാണിക്കുന്നു, എന്ത് നിർദ്ദേശിച്ചു എന്നല്ല, strongSwanൽ swanctl --log ലഭിച്ച അറിയിപ്പ് അത് വഹിച്ച തിരഞ്ഞെടുപ്പുകളോടൊപ്പം അച്ചടിക്കുന്നു.

തുടർന്ന് യഥാർത്ഥത്തിൽ എന്ത് ഇൻസ്റ്റാൾ ചെയ്തു എന്ന് പരിശോധിക്കുക. swanctl --list-sas ചൈൽഡ് SAയുടെ തിരഞ്ഞെടുപ്പുകൾ കാണിക്കുന്നു, ip xfrm policy അതേ ശ്രേണികൾ കെർണൽ നയ എൻട്രികളായി കാണിക്കുന്നു. ആ പട്ടികയിൽ നിങ്ങൾ ഉദ്ദേശിക്കാത്ത തിരഞ്ഞെടുപ്പുകളുള്ള ചൈൽഡ് SA ചുരുക്കൽ സംഭവമാണ്; ലോഗിൽ ചൈൽഡ് SA ഇല്ലാതെ TS_UNACCEPTABLE ഉണ്ടെങ്കിൽ അത് നിരസിക്കലാണ്.

അവിടെയുള്ളപ്പോൾ അടുത്ത അയൽക്കാരെ വേർതിരിക്കുക. INVALID_SELECTORS സ്ഥാപിതമായ ചൈൽഡ് SAയ്ക്കുള്ളിലെ തിരഞ്ഞെടുപ്പിനെക്കുറിച്ച് പരാതിപ്പെടുന്നു, INTERNAL_ADDRESS_FAILURE എന്നാൽ ഉത്തരം നൽകുന്നവന് വിർച്വൽ വിലാസം അനുവദിക്കാനായില്ല എന്നാണ്, അത് കവറേജല്ല, പൂൾ പ്രശ്നമാണ്.

ഗണത്തെ നിശ്ശബ്ദമായി ചെറുതാക്കുന്നത് എന്തെന്ന് പരിശോധിക്കുക

മൂന്ന് കാര്യങ്ങൾ ഒന്നും പറയാതെ തിരഞ്ഞെടുപ്പ് ഗണത്തെ ചെറുതാക്കുന്നു. ആദ്യത്തേത് ഉത്തരം നൽകുന്നവന്റെ നയമാണ്, സബ്നെറ്റ് പട്ടികകൾ, ഗ്രൂപ്പ് നിയമങ്ങൾ അല്ലെങ്കിൽ ഉപയോക്തൃതല അനുമതി എന്നിവയിലൂടെ നിർദ്ദേശത്തെ ഉപഗണമാക്കി ചുരുക്കുന്നു. രണ്ടാമത്തേത് വിലാസ കുടുംബമാണ്: ഇരട്ട സ്റ്റാക്ക് ക്ലയന്റ് പലപ്പോഴും IPv4നൊപ്പം IPv6 നിർദ്ദേശിക്കുന്നു, ഗേറ്റ്വേ ഒരിക്കലും കോൺഫിഗർ ചെയ്യാത്ത ശ്രേണികൾക്ക് നിരസിക്കൽ ലഭിക്കുന്നു.

മൂന്നാമത്തേത് പ്രോട്ടോക്കോൾ, പോർട്ട് നിയന്ത്രണങ്ങളാണ്. നയം TCP 445 മാത്രം അനുവദിക്കുന്നിടത്ത്, ICMPയും UDPയും പുറത്തുനിൽക്കെ ചൈൽഡ് SA ഉയർന്നേക്കാം, ഒരു പ്രോട്ടോക്കോൾ മാത്രമാണ് അനുവദിച്ചിരുന്നതെങ്കിലും ഉപയോക്താവ് ടണൽ തകർന്നു എന്ന് റിപ്പോർട്ട് ചെയ്യുന്നു.

അതിനാൽ വിലാസങ്ങൾ വിശാലമാക്കുന്നത് മാത്രം പോർട്ട് പരിമിതമായ നയം ശരിയാക്കാനാവില്ല, മൂന്ന് റൗണ്ട് പ്രശ്നപരിഹാരത്തിനുശേഷവും മാറ്റമില്ലാതെ അവശേഷിക്കാൻ ഏറ്റവും സാധ്യതയുള്ളത് ആ കേസാണ്.

ഒത്തുപോകുന്ന ട്രാഫിക്ക് കൊണ്ട് കവറേജ് തെളിയിക്കുക

ചൈൽഡ് SA ഇൻസ്റ്റാൾ ചെയ്തശേഷം, സ്വീകരിച്ച ശ്രേണികൾക്കുള്ളിൽ ഉറപ്പായി വീഴുന്ന ഒരു അഭ്യർത്ഥന അയക്കുക. സ്റ്റാറ്റസ് ഐക്കണിനു പകരം കൗണ്ടറുകൾ നോക്കുക: പാക്കറ്റ് പൊരുത്തപ്പെട്ട് സംരക്ഷിക്കപ്പെടുമ്പോൾ ip -s xfrm stateഉം ip xfrm policyന് പിന്നിലെ കൗണ്ടറുകളും ഉയരുന്നു. യഥാർത്ഥ ട്രാഫിക്കിനുശേഷവും പൂജ്യത്തിൽ നിൽക്കുന്ന ബൈറ്റ് എണ്ണം എന്നാൽ കെർണൽ ആ നയം ഒരിക്കലും തിരഞ്ഞെടുത്തില്ല എന്നാണ്.

ആ പൂജ്യം റൂട്ടിംഗ് അല്ലെങ്കിൽ നയക്രമ പ്രശ്നമാണ്, ക്രിപ്റ്റോ പ്രശ്നമല്ല. ഉപയോക്താവിന്റെ സ്ഥാനത്തുനിന്ന് അത് തിരഞ്ഞെടുപ്പ് നിരസിക്കലിനോട് തികച്ചും സമാനമായി കാണപ്പെടുന്നു, അതുകൊണ്ട് പ്രൊഫൈൽ വീണ്ടും തുറക്കുന്നതിന് മുൻപ് കൗണ്ടറുകൾ ശേഖരിക്കുന്നത് മൂല്യവത്താണ്. ഒരു ദിശയിൽ മാത്രം ഉയരുന്ന കൗണ്ടറുകൾ പകരം മടങ്ങിവരവ് പാതയിലേക്ക് ചൂണ്ടുന്നു.

സ്വീകരിച്ച ജോടി ടിക്കറ്റിൽ, ആദ്യം ആവശ്യപ്പെട്ട ശ്രേണിയുടെ അടുത്ത് എഴുതി അവസാനിപ്പിക്കുക. ആവശ്യത്തിനൊപ്പം ഇടുങ്ങിയതായി തിരഞ്ഞെടുപ്പ് നിലനിർത്തുക, കാരണം സ്വകാര്യ ശ്രേണിയെ എല്ലാ വിലാസങ്ങളും കൊണ്ട് മാറ്റി പിശക് മായ്ക്കുന്നത് അക്കൗണ്ടിന് അനുവദിച്ചതിനേക്കാൾ ഏറെ പ്രവേശനം നൽകുന്നു.