Rakan IPsec masuk tidak sepadan dengan mana-mana profil? Semak empat medan

Rakan anda melaporkan terowong sudah naik, pihak anda tidak menunjukkan sebarang persatuan keselamatan, dan fail konfigurasi jelas mengandungi nama sambungan yang sepadan. Ketiga-tiga kenyataan itu boleh benar serentak. Rundingan masuk dipadankan dengan konfigurasi yang berjalan, menggunakan alamat rakan, identiti yang dikemukakannya dan trafik yang dicadangkannya. Fail pada cakera yang tidak pernah dimuatkan, identiti yang tidak sepadan dengan nilai yang dijangka, atau pasangan pemilih yang tersasar satu awalan — setiap satunya menghasilkan kesenyapan. Lalui keempat-empat kumpulan medan mengikut urutan yang diikuti responden.

Mulakan dengan paket, bukan fail

Responden menerima permintaan IKE, mencari definisi yang boleh menerima rakan ini, kemudian meneruskan dengan pengesahan dan pemilihan trafik. Jika tiada definisi termuat yang sepadan pada langkah pertama, rundingan tamat sebelum sebarang ralat berguna sampai kepada pengguna.

Sebab itu “konfigurasi nampak betul” bukan bukti. Persoalannya ialah apa yang telah dimuatkan oleh perkhidmatan yang berjalan dan entri mana yang dipilihnya untuk percubaan ini. Senarai status menjawabnya dengan satu arahan, manakala penimbal penyunting menjawab soalan lain. Semak senarai itu sebelum anda mengubah fail lagi.

Kumpulan medan pertama: definisi yang benar-benar dimuatkan

Semak keadaan yang berjalan dengan alat yang memiliki daemon: arahan status yang menyenaraikan sambungan termuat, bukan penimbal penyunting. Sahkan entri yang anda jangka ada, didayakan untuk tingkah laku permulaan yang anda maksudkan, dan dimuatkan selepas suntingan terakhir anda. Fail yang disimpan tetapi tidak dimuat semula ialah punca paling biasa bagi “saya sudah membetulkannya dan tiada apa berubah”.

Sahkan juga fail mana yang dibaca oleh perkhidmatan. Edaran berbeza-beza, dan sambungan yang ditulis dalam sertaan yang salah diabaikan secara senyap dan bukan ditolak. Jika senarai status tidak menunjukkan entri anda langsung, syak laluan sertaan sebelum mensyaki sintaks.

Kumpulan medan kedua: titik hujung bukan identiti

Alamat tempat rakan bersambung dan identiti yang digunakannya untuk pengesahan ialah medan berasingan. Nama hos, nama kehormat, ID kunci dan alamat semuanya boleh menjadi identiti IKE bergantung pada konfigurasi, dan ia tidak perlu kelihatan seperti alamat awam sama sekali.

Padanan titik hujung juga boleh melibatkan pandangan NAT: alamat yang dilihat di rangkaian boleh berbeza daripada alamat yang disangka dimiliki oleh rakan. Dalam model sambungan libreswan, left dan right ialah label bagi dua peserta dan bukan urutan tetap tempatan dan jauh, sebab itu menyalin konfigurasi yang berfungsi dari tapak lain lalu menukar alamat bukan terjemahan yang boleh dipercayai.

Catat identiti yang dijangka bagi kedua-dua pihak dan kelayakan yang mengesahkannya. Jika kedua-dua baris itu tidak sepadan, tiada berapa banyak pelarasan alamat pun akan menghasilkan padanan.

Kumpulan medan ketiga: trafik yang dilindungi

Pemilih menerangkan julat sumber dan destinasi dalaman, keluarga alamatnya serta sebarang sekatan protokol atau port. Cadangan untuk alamat satu hos bukan permintaan yang sama seperti untuk seluruh subrangkaian, dan responden yang dikonfigurasikan untuk subrangkaian itu boleh menolaknya atau menyempitkannya.

Apabila kedua-dua hujung tidak sepadan, bandingkan aliran yang dimaksudkan dari kedua-dua sudut pandang dan bukan meluaskan setiap pemilih supaya sesuatu dapat bersambung. Tanya setiap pentadbir aliran mana yang disangkanya dilindungi, kemudian bandingkan kedua-dua jawapan. Ketidakpadanan biasanya awalan hos di satu pihak dan subrangkaian di pihak yang lain. Terowong yang sepadan kerana kini melindungi segala-galanya ialah keputusan keselamatan yang berbeza, dan yang tiada siapa meluluskannya.

Kumpulan medan keempat: anda membaca satu pelaksanaan

Libreswan, Openswan lama dan strongSwan mempunyai alat pengurusan berbeza, sintaks konfigurasi berbeza dan urutan padanan berbeza. Contoh yang berfungsi pada satu tidak berkata apa-apa yang tepat tentang keutamaan pemilihan profil atau perumusan ralat pada yang lain, jadi sahkan dengan dokumentasi daemon pada hos ini.

Kaitkan satu percubaan dari awal hingga akhir: alamat sumber pemula, identiti yang ditawarkan dan pemilih yang dicadangkan — terhadap mesej pemilihan responden dan entri termuat yang dinamakannya. Kaunter enkapsulasi dan dekapsulasi sifar hanya mengatakan bahawa persatuan yang diperhatikan tidak membawa paket itu; ia tidak menamakan titik hujung yang menolak cadangan itu dan tidak membuktikan bahawa entri sepadan wujud pada masa itu.

Selepas pembetulan yang diselaraskan, sahkan profil dan persatuan yang dipilih, kemudian uji perkhidmatan yang benar-benar dibenarkan dan laluan balasannya. Padanan profil membolehkan rundingan, dan rundingan bukan pemeriksaan akses terakhir.