Meta IKEv2 irodd TS_UNACCEPTABLE, qabbel is-subnetworks veri

Aqra TS_UNACCEPTABLE bħala nuqqas ta' qbil dwar il-kopertura, mhux bħala profil imħassar. Il-gateway qed jgħid li ż-żewġ naħat ma setgħux jaqblu liema indirizzi jista' jġorr dan it-tunnel. L-IKE SA tista' tkun diġà mtellgħa f'dak il-mument, u għalhekk klijent jista' jidher konness mingħajr ebda SA tifel warajh. Ladarba tqiegħdu hekk, ix-xogħol isir mekkaniku. Ikteb il-prefissi maħsuba taż-żewġ naħat, qabbelhom f'direzzjoni waħda, u dejjaqhom sakemm jaqtgħu lil xulxin.

L-ewwel ikteb il-par maħsuba

Qabel ma tmiss il-konfigurazzjoni, elenka erba' valuri: il-firxa tas-sors tal-inizjatur, il-firxa tad-destinazzjoni tiegħu, u l-istess par kif jidher mill-ġenb tal-respondent. Irreġistra wkoll il-familja tal-indirizzi ta' kull wieħed. Firxa IPv4 u firxa IPv6 huma tipi ta' selettur differenti, u lanqas waħda ma tista' titwi fil-payload tal-oħra.

Żid kull restrizzjoni ta' protokoll jew port li ġġorr il-politika. Regola li tippermetti biss TCP 445 lejn server tal-fajls tiddeskrivi sett idjaq mis-subnetwork li fih tinsab. Jekk tħalli dan barra min-noti tiegħek, ir-riżultat tan-negozjati jidher inkonsistenti għal raġunijiet li ma tarax.

Aqleb it-tikketti qabel ma tqabbelhom

Lokali u remot huma tikketti relattivi. Il-prefiss lokali tal-klijent huwa l-firxa remota tal-gateway, u l-firxa lokali tal-gateway hija dik remota tal-klijent. Għalhekk l-iscreenshots miż-żewġt itruf qatt ma jaqblu, u li tqabbelhom litteralment huwa l-mod tas-soltu kif titlef wara nofsinhar.

Ir-respondent jista' jdejjaq offerta għal sottoinsieme aċċettabbli minflok ma jirrifjutaha. Dak ir-riżultat huwa agħar minn falliment nadif, għax jaħdem nofsu. Itlob 10.0.0.0/16 meta l-politika tippermetti 10.0.5.0/24, u tista' tispiċċa b'SA tifel li tkopri biss dik /24. Host wieħed iwieġeb, kollox ieħor jaqa' barra, u xejn fil-klijent ma jgħid dan. Aqra s-seletturi aċċettati u mhux dawk mitluba qabel ma tikkonkludi li n-negozjati rnexxew.

Profili road warrior li jitolbu rotta default jinżlu hawn kontinwament. Gateway mibni għal aċċess maqsum idejjaq offerta ta' firxa sħiħa għas-subnetworks tiegħu stess, u l-klijent irid jaċċetta r-riżultat imdejjaq jew ifalli b'leħen għoli.

Aqra ċ-ċaħda minn tentattiv wieħed

Iġbor iż-żewġ logs mill-istess tentattiv ta' konnessjoni. Profil salvat juri dak li kkonfigurajt, mhux dak li ġie propost, u fuq strongSwan swanctl --log jipprintja n-notifika riċevuta flimkien mas-seletturi li ġarret.

Imbagħad iċċekkja dak li fil-fatt ġie installat. swanctl --list-sas juri s-seletturi tas-SA tifel, u ip xfrm policy juri l-istess firxiet bħala entrati tal-politika tal-kernel. SA tifel f'dik il-lista b'seletturi li ma ħsibtx għalihom hija avveniment ta' dejjiq; ebda SA tifel flimkien ma' TS_UNACCEPTABLE fil-log hija ċaħda.

Waqt li tkun hemm, ifred il-ġirien qrib. INVALID_SELECTORS jilmenta dwar selettur ġewwa SA tifel stabbilita, filwaqt li INTERNAL_ADDRESS_FAILURE ifisser li r-respondent ma setax jalloka indirizz virtwali, li hija problema ta' ġabra u mhux ta' kopertura.

Iċċekkja x'inaqqas is-sett bil-kwiet

Tliet affarijiet inaqqsu sett ta' seletturi mingħajr ma jgħidu xejn. Il-politika tar-respondent hija l-ewwel, permezz ta' listi tas-subnetworks, regoli tal-grupp jew awtorizzazzjoni għal kull utent li jnaqqsu l-offerta għal sottoinsieme. Il-familja tal-indirizzi hija t-tieni: klijent b'doppja munita spiss jipproponi IPv6 ma' IPv4 u jieħu ċaħda għal firxiet li l-gateway qatt ma kkonfigura.

Ir-restrizzjonijiet tal-protokoll u tal-port huma t-tielet. Fejn il-politika tippermetti biss TCP 445, SA tifel tista' titla' filwaqt li ICMP u UDP jibqgħu barra minnha, u l-utent jirrapporta tunnel miksur meta protokoll wieħed biss kien dak li qatt tħalla.

Għalhekk it-twessigħ tal-indirizzi waħdu ma jistax isewwi politika ristretta għall-port, u dan huwa l-każ l-aktar probabbli li jgħaddi tliet rawnds ta' soluzzjoni tal-problemi bla bidla.

Ipprova l-kopertura b'traffiku li jaqbel

Wara li s-SA tifel tiġi installata, ibgħat talba waħda li żgur taqa' ġewwa l-firxiet aċċettati. Ħares lejn il-counter u mhux lejn l-ikona tal-istat: ip -s xfrm state u l-counters wara ip xfrm policy jiżdiedu meta pakkett jiġi mqabbel u protett. Għadd ta' bytes li jibqa' żero wara traffiku reali jfisser li l-kernel qatt ma għażel dik il-politika.

Dak iż-żero hija problema ta' routing jew ta' ordni tal-politika, mhux problema ta' crittografija. Jidher ukoll identiku għaċ-ċaħda ta' selettur minn fejn joqgħod l-utent, u għalhekk il-counters jixirqu jinġabru qabel ma terġa' tiftaħ il-profil. Counters li jogħlew biss f'direzzjoni waħda jindikaw minflok it-triq tar-ritorn.

Spiċċa billi tikteb il-par aċċettat fil-biljett, ħdejn il-firxa li kienet mitluba oriġinarjament. Żomm l-għażla dejqa daqs il-ħtieġa, għax it-tħassir tal-iżball billi tibdel firxa privata bl-indirizzi kollha jagħti ħafna aktar aċċess milli kien approvat għall-kont.