Ирж буй IPsec хамтрагч ямар ч профайлд тохирохгүй байна уу? Дөрвөн талбарыг шалгана уу

Таны хамтрагч туннель өргөгдсөн гэж мэдээлж байна, таны тал ямар ч аюулгүй байдлын холбоо харуулахгүй байна, харин тохиргооны файлд тохирох холболтын нэр тодорхой байна. Эдгээр гурван мэдэгдэл нэгэн зэрэг үнэн байж болно. Ирж буй хэлэлцээрийг ажиллаж буй тохиргоотой харьцуулдаг бөгөөд хамтрагчийн хаяг, түүний танилцуулж буй таних тэмдэг, түүний санал болгож буй урсгалаар тодорхойлогдоно. Диск дээр үлдсэн, хэзээ ч ачаалагдаагүй файл, хүлээгдэж буй утгатай тохирохгүй таних тэмдэг, эсвэл нэг префиксээр зөрсөн селекторын хос — тус бүр нь чимээгүй байдал үүсгэдэг. Хариулагчийн явдаг дарааллаар дөрвөн талбарын бүлгийг дамжина уу.

Файлаас биш, пакетаас эхэл

Хариулагч IKE хүсэлт хүлээн авч, энэ хамтрагчийг хүлээн авч чадах тодорхойлолтыг хайж, дараа нь баталгаажуулалт ба урсгалын сонголт руу шилждэг. Эхний алхамд ачаалагдсан тодорхойлолт нэг ч тохирохгүй бол хэрэгтэй алдаа хэрэглэгчид хүрэхээс өмнө хэлэлцээр дуусдаг.

Тиймээс «тохиргоо зөв харагдаж байна» гэдэг нь баталгаа биш. Асуулт нь ажиллаж буй үйлчилгээ юу ачаалсан, энэ оролдлогод аль бичлэгийг сонгосон явдал юм. Төлөвийн жагсаалт үүнд нэг командаар хариулдаг бол засварлагчийн буфер өөр асуултад хариулдаг. Файлыг дахин өөрчлөхөөс өмнө жагсаалтыг шалгана уу.

Эхний талбарын бүлэг: үнэхээр ачаалагдсан тодорхойлолт

Ажиллаж буй төлөвийг демоныг эзэмшдэг хэрэгслээр шалгана уу: ачаалагдсан холболтыг жагсаасан төлөвийн команд, засварлагчийн буфер биш. Хүлээж буй бичлэг байгаа, таны хүссэн эхлэх зан төлөвт идэвхжсэн, таны сүүлийн засварын дараа ачаалагдсаныг батална уу. Хадгалагдсан боловч дахин ачаалагдаагүй файл нь «зассан боловч юу ч өөрчлөгдөөгүй» гэдгийн хамгийн түгээмэл шалтгаан.

Үйлчилгээ аль файлыг уншиж байгааг ч батална уу. Тархалтууд ялгаатай бөгөөд буруу оруулгад бичигдсэн холболтыг татгалзахын оронд чимээгүйгээр үл тоомсорлодог. Хэрэв төлөвийн жагсаалт таны бичлэгийг огт харуулахгүй бол синтаксист эргэлзэхээс өмнө оруулгын замд эргэлзээрэй.

Хоёр дахь талбарын бүлэг: төгсгөлийн цэгүүд нь таних тэмдэг биш

Хамтрагчийн холбогдож буй хаяг ба түүний баталгаажуулж буй таних тэмдэг нь тусдаа талбарууд. Хостын нэр, ялгах нэр, түлхүүрийн ID, хаяг — тохиргооноос хамааран бүгд IKE таних тэмдэг болж чадна бөгөөд тэдгээр нь нийтийн хаягтай төстэй байх албагүй.

Төгсгөлийн цэгийг тааруулах нь NAT-ын харагдацыг ч хамарч болно: сүлжээнд харагдах хаяг нь хамтрагчийн өөрт байна гэж бодож буй хаягаас өөр байж болно. libreswan-ы холболтын загварт left ба right нь хоёр оролцогчийн шошго бөгөөд орон нутгийн ба алсын хатуу дараалал биш, тиймээс ажиллаж буй тохиргоог өөр газраас хуулж хаягуудыг солих нь найдвартай орчуулга биш.

Хоёр талын хүлээж буй таних тэмдэг болон түүнийг баталгаажуулах итгэмжлэлийг бичээрэй. Эдгээр хоёр мөр тохирохгүй бол хаягийг хэчнээн зассан ч тохирол гарахгүй.

Гурав дахь талбарын бүлэг: хамгаалагдаж буй урсгал

Селекторууд дотоод эх үүсвэр ба очих газрын хүрээ, тэдгээрийн хаягийн гэр бүл, протокол эсвэл портын аливаа хязгаарлалтыг тодорхойлно. Нэг хостын хаягийн санал нь бүхэл дэд сүлжээний хүсэлттэй ижил биш бөгөөд дэд сүлжээнд тохируулсан хариулагч үүнийг татгалзах эсвэл нарийсгаж болно.

Хоёр төгсгөл тохирохгүй үед ямар нэгэн зүйл холбогдохын тулд селектор бүрийг өргөтгөхийн оронд төлөвлөсөн урсгалыг хоёр өнцгөөс харьцуулна уу. Администратор бүрээс өөрөө хамгаалж байна гэж бодож буй урсгалыг асуугаад дараа нь хоёр хариултыг харьцуулна уу. Зөрүү нь ихэвчлэн нэг талд хостын префикс, нөгөө талд дэд сүлжээ байдаг. Одоо бүх зүйлийг хамгаалж байгаа учраас тохирч буй туннель нь өөр аюулгүй байдлын шийдвэр бөгөөд хэн ч батлаагүй шийдвэр юм.

Дөрөв дэх талбарын бүлэг: та нэг хэрэгжүүлэлтийг уншиж байна

Libreswan, хуучин Openswan болон strongSwan нь өөр өөр удирдлагын хэрэгсэл, өөр тохиргооны синтакс, өөр тааруулах дараалалтай. Нэгнийх нь ажиллаж буй жишээ нөгөөгийнх нь профайл сонголтын давуу эрх эсвэл алдааны найруулгын талаар нарийн юу ч хэлэхгүй тул энэ хост дээрх демоны баримт бичгээр шалгана уу.

Нэг оролдлогыг эхнээс нь дуустал холбоно уу: эхлүүлэгчийн эх хаяг, санал болгосон таних тэмдэг, санал болгосон селекторууд — хариулагчийн сонголтын мессеж ба түүний нэрлэсэн ачаалагдсан бичлэгтэй харьцуулан. Тэг инкапсуляц ба декапсуляцын тоолуур нь ажиглагдсан холбоо тэдгээр пакетыг зөөгөөгүй гэж хэлэх төдий; тэд саналыг татгалзсан төгсгөлийн цэгийг нэрлэхгүй, тэр мөчид тохирох бичлэг байсан гэдгийг батлахгүй.

Зохицуулсан засварын дараа сонгосон профайл болон холбоог баталж, дараа нь үнэхээр зөвшөөрөгдсөн үйлчилгээ болон түүний хариу замыг туршина уу. Профайлын тохирол нь хэлэлцээрийг боломжтой болгодог бөгөөд хэлэлцээр нь эцсийн хандалтын шалгалт биш.