IKEv2 TS_UNACCEPTABLE буцаахад бодит дэд сүлжээг харьцуулаарай

TS_UNACCEPTABLE-ийг эвдэрсэн профайл биш, харин хамрах хүрээний зөрчил гэж уншаарай. Энэ туннель ямар хаяг зөөж болохыг хоёр тал тохиролцож чадаагүй гэж гарц хэлж байна. Тэр мөчид IKE SA аль хэдийн боссон байж болох тул клиент арын хүү SAгүй ч холбогдсон мэт харагдаж болно. Ингэж хүрээлбэл ажил механик болно. Хоёр талын санаархсан префиксүүдийг бичээд, нэг чиглэлд харьцуулж, огтлолцох хүртэл нарийсгаарай.

Эхлээд санаархсан хосуудыг бичээрэй

Тохиргоонд хүрэхээс өмнө дөрвөн утгыг жагсаа: эхлүүлэгчийн эх үүсвэрийн муж, түүний очих мужийг, мөн тэр хосыг хариулагчийн талаас харсан байдал. Мөн тус бүрийн хаягийн гэр бүлийг тэмдэглээрэй. IPv4 муж ба IPv6 муж нь өөр төрлийн сонгогч бөгөөд аль нь ч нөгөөгийн ачааллын дотор нугалах боломжгүй.

Бодлого агуулж буй аливаа протокол эсвэл портын хязгаарлалтыг нэмээрэй. Файлын сервер рүү зөвхөн TCP 445-ыг зөвшөөрсөн дүрэм нь өөрөө байрлах дэд сүлжээнээс илүү нарийн олонлогийг тодорхойлно. Үүнийг тэмдэглэлээсээ орхивол хэлэлцээрийн үр дүн таны харж чадахгүй шалтгаанаар зөрчилтэй харагдана.

Харьцуулахаас өмнө шошгыг эргүүлээрэй

Локал ба алслагдсан нь харьцангуй шошго юм. Клиентийн локал префикс нь гарцын алслагдсан муж, гарцын локал муж нь клиентийн алслагдсан муж юм. Тиймээс хоёр захаас авсан дэлгэцийн зураг хэзээ ч таарахгүй бөгөөд тэдгээрийг шууд утгаар харьцуулах нь үдээс хойшийг алдах уламжлалт арга юм.

Хариулагч саналыг татгалзахын оронд хүлээн зөвшөөрөхүйц дэд олонлог болгон нарийсгаж болно. Тэр үр дүн цэвэр бүтэлгүйтлээс муу, учир нь хагас ажилладаг. Бодлого 10.0.5.0/24-ийг зөвшөөрөх үед 10.0.0.0/16-г хүсвэл зөвхөн тэр /24-ийг хамарсан хүү SA-тай дуусч болно. Нэг хост хариулж, бусад бүх зүйл гадаа үлдэж, клиент дотор юу ч үүнийг хэлэхгүй. Хэлэлцээр амжилттай болсон гэж дүгнэхээс өмнө хүссэн сонгогчдыг биш, хүлээн авсан сонгогчдыг уншаарай.

Анхдагч маршрут хүсдэг road warrior профайлууд энд байнга ирдэг. Хуваасан хандалтад зориулж хийсэн гарц бүрэн мужийн саналыг өөрийн дэд сүлжээндээ нарийсгадаг бөгөөд клиент нарийсгасан үр дүнг хүлээж авах эсвэл чанга дуугаар бүтэлгүйтэх ёстой.

Татгалзлыг нэг оролдлогоос уншаарай

Нэг холболтын оролдлогын хоёр логыг цуглуулаарай. Хадгалсан профайл та юу тохируулсныг харуулна, юу санал болгосныг биш, strongSwan дээр swanctl --log хүлээн авсан мэдэгдлийг өөрөө зөөсөн сонгогчдын хамт хэвлэнэ.

Дараа нь үнэхээр юу суулгасныг шалгаарай. swanctl --list-sas хүү SA-ийн сонгогчдыг харуулж, ip xfrm policy мөн тэдгээр мужийг цөмийн бодлогын бичлэг хэлбэрээр харуулна. Тэр жагсаалтад санаагүй сонгогчтой хүү SA байх нь нарийсгах үйл явдал; логт хүү SAгүйгээр TS_UNACCEPTABLE байх нь татгалзал.

Тэнд байхдаа ойрын хөршүүдийг тусгаарлаарай. INVALID_SELECTORS тогтсон хүү SA доторх сонгогчийн талаар гомдоллодог бол INTERNAL_ADDRESS_FAILURE нь хариулагч виртуал хаяг олгож чадаагүй гэсэн үг бөгөөд энэ нь хамрах хүрээний бус, сангийн асуудал юм.

Олонлогийг чимээгүйгээр юу багасгаж байгааг шалгаарай

Гурван зүйл юу ч хэлэлгүй сонгогчийн олонлогийг багасгадаг. Эхнийх нь хариулагчийн бодлого: дэд сүлжээний жагсаалт, бүлгийн дүрэм эсвэл хэрэглэгч тус бүрийн зөвшөөрлөөр саналыг дэд олонлог болгон бууруулдаг. Хоёр дахь нь хаягийн гэр бүл: хос стект клиент ихэвчлэн IPv4-ийн хажууд IPv6 санал болгодог бөгөөд гарц хэзээ ч тохируулаагүй мужуудад татгалзал авдаг.

Гурав дахь нь протокол ба портын хязгаарлалт. Бодлого зөвхөн TCP 445-ыг зөвшөөрдөг газарт ICMP ба UDP гадаа үлдсэн хэвээр хүү SA босч болох бөгөөд зөвхөн нэг протокол зөвшөөрөгдсөн байсан ч хэрэглэгч туннель эвдэрсэн гэж мэдээлдэг.

Тиймээс зөвхөн хаягийг өргөтгөх нь портоор хязгаарлагдсан бодлогыг засахгүй бөгөөд яг энэ тохиолдол гурван үеийн алдаа шинжилгээний дараа өөрчлөлтгүй үлдэх магадлал хамгийн өндөр.

Тохирох урсгалаар хамрах хүрээг батал

Хүү SA суусны дараа хүлээн авсан мужуудын дотор баттай багтах нэг хүсэлт илгээ. Төлөвийн дүрсний оронд тоолуурыг хар: пакет таарч хамгаалагдах үед ip -s xfrm state ба ip xfrm policy-ийн ард байгаа тоолуурууд өсдөг. Бодит урсгалын дараа тэг дээр үлдэх байтын тоо нь цөм тэр бодлогыг хэзээ ч сонгоогүй гэсэн үг.

Тэр тэг нь маршрутлалт эсвэл бодлогын дарааллын асуудал, крипто асуудал биш. Хэрэглэгчийн байрнаас тэр сонгогчийн татгалзалтай яг адил харагддаг тул профайлыг дахин нээхийн өмнө тоолуурыг цуглуулах нь үнэ цэнэтэй. Зөвхөн нэг чиглэлд өсдөг тоолуур нь харин буцах замыг заана.

Хүлээн авсан хосыг тасалбарт, анх хүссэн мужийн хажууд бичээд дуусгаарай. Сонголтыг шаардлагын хэмжээнд нарийн байлга, учир нь хувийн мужийг бүх хаягаар сольж алдааг арилгах нь бүртгэлд зөвшөөрснөөс хамаагүй илүү хандалт өгдөг.