Apabila IKEv2 memulangkan TS_UNACCEPTABLE, bandingkan subrangkaian sebenar

Baca TS_UNACCEPTABLE sebagai ketidaksepakatan liputan, bukan sebagai profil rosak. Gerbang itu mengatakan kedua-dua rakan tidak dapat bersetuju alamat mana yang boleh dibawa oleh terowong ini. IKE SA mungkin sudah naik pada saat itu, sebab itulah klien boleh kelihatan bersambung tanpa SA anak di belakangnya. Setelah dirangka begitu, kerja menjadi mekanikal. Tuliskan prefiks yang dimaksudkan kedua-dua pihak, bandingkan dalam satu arah, dan sempitkan sehingga ia bersilang.

Tulis dahulu pasangan yang dimaksudkan

Sebelum menyentuh konfigurasi, senaraikan empat nilai: julat sumber pemula, julat destinasinya, dan pasangan yang sama dilihat dari pihak penjawab. Catat juga keluarga alamat setiap satu. Julat IPv4 dan julat IPv6 ialah jenis pemilih yang berbeza, dan tiada satu pun boleh dilipat ke dalam muatan yang lain.

Tambahkan sebarang sekatan protokol atau port yang dibawa oleh dasar. Peraturan yang hanya membenarkan TCP 445 ke pelayan fail menerangkan set yang lebih sempit daripada subrangkaian tempat ia berada. Jika anda tinggalkan itu daripada nota, hasil rundingan akan kelihatan tidak konsisten atas sebab yang anda tidak nampak.

Balikkan label sebelum membandingkannya

Tempatan dan jauh ialah label relatif. Prefiks tempatan klien ialah julat jauh gerbang, dan julat tempatan gerbang ialah julat jauh klien. Oleh sebab itu tangkapan skrin dari kedua-dua hujung tidak pernah sepadan, dan membandingkannya secara literal ialah cara biasa kehilangan satu petang.

Penjawab boleh menyempitkan tawaran kepada subset yang boleh diterima dan bukannya menolaknya. Hasil itu lebih buruk daripada kegagalan bersih, kerana ia berfungsi separuh. Minta 10.0.0.0/16 apabila dasar membenarkan 10.0.5.0/24, dan anda mungkin berakhir dengan SA anak yang hanya meliputi /24 itu. Satu hos menjawab, semua yang lain jatuh di luar, dan tiada apa-apa dalam klien mengatakan demikian. Baca pemilih yang diterima dan bukan yang diminta sebelum membuat kesimpulan bahawa rundingan berjaya.

Profil road warrior yang meminta laluan lalai sentiasa mendarat di sini. Gerbang yang dibina untuk akses terpisah menyempitkan tawaran julat penuh kepada subrangkaiannya sendiri, dan klien mesti menerima hasil yang disempitkan atau gagal dengan kuat.

Baca penolakan daripada satu percubaan

Kumpulkan kedua-dua log daripada percubaan sambungan yang sama. Profil yang disimpan menunjukkan apa yang anda konfigurasikan, bukan apa yang dicadangkan, dan pada strongSwan swanctl --log mencetak pemberitahuan yang diterima bersama pemilih yang dibawanya.

Kemudian periksa apa yang benar-benar dipasang. swanctl --list-sas menunjukkan pemilih SA anak, dan ip xfrm policy menunjukkan julat yang sama sebagai entri dasar kernel. SA anak dalam senarai itu dengan pemilih yang tidak anda maksudkan ialah peristiwa penyempitan; tiada SA anak bersama TS_UNACCEPTABLE dalam log ialah penolakan.

Sementara di sana, pisahkan jiran yang dekat. INVALID_SELECTORS mengeluh tentang pemilih di dalam SA anak yang mantap, manakala INTERNAL_ADDRESS_FAILURE bermaksud penjawab tidak dapat memperuntukkan alamat maya, yang merupakan masalah kolam dan bukan masalah liputan.

Periksa apa yang diam-diam mengecilkan set

Tiga perkara mengecilkan set pemilih tanpa berkata apa-apa. Dasar penjawab ialah yang pertama, melalui senarai subrangkaian, peraturan kumpulan atau kebenaran setiap pengguna yang mengurangkan tawaran kepada subset. Keluarga alamat ialah yang kedua: klien tindanan dwi sering mencadangkan IPv6 bersama IPv4 dan mendapat penolakan untuk julat yang tidak pernah dikonfigurasikan oleh gerbang.

Sekatan protokol dan port ialah yang ketiga. Di mana dasar hanya membenarkan TCP 445, SA anak boleh naik manakala ICMP dan UDP kekal di luarnya, dan pengguna melaporkan terowong rosak sedangkan satu protokol sahaja yang pernah dibenarkan.

Jadi meluaskan alamat semata-mata tidak dapat membaiki dasar terhad port, dan itulah kes yang paling mungkin bertahan tanpa perubahan selepas tiga pusingan penyelesaian masalah.

Buktikan liputan dengan trafik yang sesuai

Selepas SA anak dipasang, hantar satu permintaan yang pasti jatuh di dalam julat yang diterima. Perhatikan pembilang dan bukan ikon status: ip -s xfrm state dan pembilang di belakang ip xfrm policy bertambah apabila paket dipadankan dan dilindungi. Bilangan bait yang kekal sifar selepas trafik sebenar bermaksud kernel tidak pernah memilih dasar itu.

Sifar itu ialah masalah penghalaan atau susunan dasar, bukan masalah kripto. Ia juga kelihatan sama seperti penolakan pemilih dari tempat duduk pengguna, sebab itulah pembilang wajar dikumpulkan sebelum anda membuka semula profil. Pembilang yang naik hanya dalam satu arah menunjuk ke laluan pulang.

Akhiri dengan menulis pasangan yang diterima ke dalam tiket, di sebelah julat yang diminta asalnya. Kekalkan pilihan sesempit keperluan, kerana menghapuskan ralat dengan menggantikan julat persendirian dengan semua alamat memberikan akses jauh lebih banyak daripada yang diluluskan untuk akaun.