Lima peranan alamat dalam profil IPsec, dan yang mana satu salah

Lima tugas berbeza mendapat alamat dalam definisi sambungan biasa, dan semuanya tidak perlu bersetuju antara satu sama lain. Pentadbir tersekat kerana naluri yang wajar, iaitu mengarahkan semua medan ke hos yang sama, adalah salah bagi sekurang-kurangnya tiga daripadanya. Jalan keluarnya ialah namakan gejala dahulu, kemudian lihat satu atau dua medan yang mungkin menghasilkannya.

Kelima-lima tugas itu, mengikut urutan kepentingannya

Titik akhir pengangkutan ialah tempat pertukaran IKE dihantar. Identiti yang disahkan ialah nama yang dibuktikan oleh setiap pihak, dan ia diperiksa terhadap dasar, bukan terhadap jadual penghalaan. Subnet terlindung ialah pemilih yang menentukan trafik dalaman mana yang tergolong dalam terowong. Kemudian ada sumber yang digunakan apabila gateway sendiri memulakan perbualan, dan akhirnya hop seterusnya lapisan bawah untuk mencapai rakan.

Label peserta seperti left dan right ialah konvensyen untuk dua belah sambungan, bukan sinonim bagi setempat dan jauh. Baca manual pelaksanaan yang benar-benar dipasang sebelum menganggap sesuatu kunci bermaksud apa yang dimaksudkan oleh produk lain dengannya.

Keputusan pertama: tiada apa yang terbentuk

Apabila langsung tiada pertukaran muncul dalam log, titik akhir ialah suspek pertama: alamat yang salah, laluan yang ditapis, atau antara muka yang tidak didengar oleh daemon. Beralih ke medan identiti hanya selepas jabat tangan kelihatan, kerana identiti dinilai di dalam pertukaran, bukan sebelumnya. Laluan ditapis dan alamat salah kelihatan sama dari sisi klien, jadi periksa sisi yang mendengar sebelum menyunting apa-apa. Sahkan bahawa daemon terikat pada antara muka yang anda jangkakan, kerana perkhidmatan yang mendengar pada satu alamat kelihatan sama seperti laluan yang disekat.

Alamat awam yang diperhatikan melalui penterjemahan bukanlah perkara yang sama dengan identiti yang dibuktikan oleh rakan. Menukar alamat supaya sepadan dengan apa yang ditunjukkan oleh tangkapan paket di hujung jauh ialah pembetulan yang lazim dan salah.

Keputusan kedua: terowong naik dan trafik mati

Pemilih menentukan apa yang masuk ke dalam terowong, dan ketidakpadanan di sini menghasilkan sambungan yang berjaya berunding sementara aplikasi masih gagal. Pihak jauh mesti menamakan julat terlindung anda sebagai julat jauhnya, dan di situlah nilai terbalik menyelinap masuk.

Baca kedua-dua konfigurasi bersebelahan sebelum menyunting. Julat setempat pada satu hos ialah julat jauh pada hos yang lain, dan satu pasangan yang tertukar menjelaskan terowong yang tidak membawa apa-apa. Sempitkan pasangan itu sebelum menyentuh kuncinya: satu subnet di dalam terowong dan satu di luar memberitahu anda sama ada pemilih atau penghalaan yang bersalah.

Keputusan ketiga: hanya trafik gateway sendiri yang gagal

Trafik yang dimajukan untuk klien boleh berfungsi dengan sempurna sementara permintaan yang dimulakan oleh gateway sendiri gagal, kerana aliran itu tiada sumber klien untuk diwarisi. Tetapan sumber pilihan wujud untuk kes ini, dan ia bukan penterjemahan sumber: ia memilih alamat sumber dan bukannya menulis semula satu.

Aplikasi yang mengikat alamat lain secara eksplisit boleh mengatasi keutamaan itu, jadi sahkan sumber sebenar paket sebelum membuat kesimpulan bahawa tetapan itu diabaikan. Tangkap pada antara muka gateway sendiri dan bukannya mempercayai niat konfigurasi.

Hop seterusnya ialah arahan setempat

Hop seterusnya lapisan bawah memberitahu hos ini cara mencapai rakan, dan pihak jauh tidak memerlukan nilai yang sama. Menganggapnya sebagai tetapan dikongsi, atau mengodkan gateway lalai secara keras, rosak pada saat laluan berubah atau laluan kedua muncul.

Sesetengah pelaksanaan menawarkan nilai khas di sini. Apa yang disenaraikan manual untuk versi yang dipasang ialah satu-satunya jawapan selamat, dan jadual penghalaan setempat ialah bukti ia berkesan. Apabila rakan boleh dicapai melalui nama tetapi tidak melalui alamat, ketidakpadanan itulah penemuan, bukan butiran yang perlu dielakkan.

Baca profil dari kedua-dua hujung

Membalikkan peranan di atas kertas ialah semakan terpantas yang ada: tukar julat terlindung, kekalkan hop seterusnya setiap pihak dan identiti setiap pihak. Apa-apa yang tidak bertahan dengan pertukaran itu mungkin ditugaskan kepada tugas yang salah.

Kemudian uji satu aliran bagi setiap peranan: kebolehcapaian rakan-ke-rakan, aliran klien dalaman dan permintaan yang berasal daripada gateway. Tiga ujian memberitahu anda tugas mana yang salah ditugaskan tanpa membuka konfigurasi semula. Tambahkan hasilnya pada tiket di sebelah medan yang anda ubah, kerana jurutera seterusnya akan bertemu profil yang sama.