Peer IPsec deħlin li ma jaqbel ma' ebda profil? Iċċekkja erba' oqsma

Il-peer tiegħek jirrapporta li t-tunnel huwa 'l fuq, in-naħa tiegħek ma turi l-ebda assoċjazzjoni tas-sigurtà, u l-fajl tal-konfigurazzjoni b'mod ċar fih isem ta' konnessjoni li jaqbel. Tista' tkun vera t-tliet affarijiet fl-istess ħin. In-negozjar dehlin jiġi mqabbel mal-konfigurazzjoni li qed taħdem, bl-użu tal-indirizz tal-peer, l-identità li jippreżenta u t-traffiku li jipproponi. Fajl fuq id-diska li qatt ma ġie mgħobbi, identità li ma taqbilx mal-valur mistenni, jew par ta' għażliet li huwa żbaljat b'prefiss wieħed — kull wieħed minnhom jipproduċi skiet. Mexxi l-erba' gruppi ta' oqsma fl-ordni li jsegwi r-risponditur.

Ibda mill-pakkett, mhux mill-fajl

Ir-risponditur jirċievi talba IKE, ifittex definizzjoni li tista' taċċetta dan il-peer, u mbagħad ikompli bl-awtentikazzjoni u l-għażla tat-traffiku. Jekk fl-ewwel pass l-ebda definizzjoni mgħobbija ma taqbel, in-negozjar jintemm qabel ma xi żball utli jilħaq lill-utent.

Għalhekk “il-konfigurazzjoni tidher tajba” mhix prova. Il-mistoqsija hija x'għabba s-servizz li qed jaħdem u liema entrata għażel għal dan l-attentat. Lista tal-istat twieġeb dan b'wieħed kmand, filwaqt li l-buffer tal-editur iwieġeb mistoqsija oħra. Iċċekkja l-lista qabel ma tibdel il-fajl mill-ġdid.

Ewwel grupp ta' oqsma: id-definizzjoni li hi tassew mgħobbija

Iċċekkja l-istat li qed jaħdem bl-għodda li għandha d-daemon: kmand tal-istat li jelenka l-konnessjonijiet mgħobbija, mhux il-buffer tal-editur. Ikkonferma li l-entrata li tistenna teżisti, hija attivata għall-imġiba tal-bidu li trid, u ġiet mgħobbija wara l-aħħar editjar tiegħek. Fajl salvat li ma ġiex rilokat huwa l-aktar kawża komuni ta' “sewwiġtha u xejn ma nbidel”.

Ikkonferma wkoll liema fajl jaqra s-servizz. Id-distribuzzjonijiet ivarjaw, u konnessjoni miktuba fl-inklużjoni ħażina tiġi injorata fis-skiet minflok ma tiġi miċħuda. Jekk il-lista tal-istat ma turix l-entrata tiegħek xejn, issuspetta l-mogħdija tal-inklużjoni qabel is-sintassi.

It-tieni grupp ta' oqsma: il-punti tat-tarf mhumiex identitajiet

L-indirizz li minnu l-peer jikkonnettja u l-identità li biha jawtentika huma oqsma separati. Isem tal-host, isem distint, ID tal-muftieħ u indirizz kollha jistgħu jservu bħala identità IKE skont il-konfigurazzjoni, u m'għandhomx għalfejn jixbħu l-indirizz pubbliku xejn.

It-tqabbil tal-punti tat-tarf jista' jinvolvi wkoll veduta NAT: l-indirizz li jidher fuq ix-xibka jista' jkun differenti mill-indirizz li l-peer jaħseb li għandu. Fil-mudell tal-konnessjonijiet ta' libreswan, left u right huma tikketti għaż-żewġ parteċipanti u mhux ordni fissa ta' lokali u remot, u għalhekk l-ikkupjar ta' konfigurazzjoni li taħdem minn sit ieħor u l-bdil tal-indirizzi mhuwiex traduzzjoni affidabbli.

Ikteb l-identità mistennija taż-żewġ naħat u l-kredenzjali li tivvalidaha. Jekk dawk iż-żewġ linji ma jaqblux, l-ebda aġġustament tal-indirizzi mhu se jipproduċi tqabbil.

It-tielet grupp ta' oqsma: it-traffiku li qed jiġi protett

L-għażliet jiddeskrivu l-firxiet interni tas-sors u d-destinazzjoni, il-familja tal-indirizzi tagħhom u kwalunkwe restrizzjoni tal-protokoll jew tal-port. Proposta għall-indirizz ta' host wieħed mhijiex l-istess talba bħal għal subnetwork sħiħ, u risponditur konfigurat għas-subnetwork jista' jirrifjutaha jew iwessagħha.

Meta ż-żewġt itruf ma jaqblux, qabbel il-fluss maħsub miż-żewġ perspettivi minflok ma twessa' kull għażla biex xi ħaġa tikkonnettja. Staqsi lil kull amministratur liema fluss jaħseb li qed jipproteġi, imbagħad qabbel it-tweġibiet. Id-diskrepanza normalment hija prefiss tal-host fuq naħa u subnetwork fuq l-oħra. Tunnel li jaqbel għax issa jipproteġi kollox huwa deċiżjoni tas-sigurtà differenti, u waħda li ħadd ma approva.

Ir-raba' grupp ta' oqsma: qed taqra implimentazzjoni waħda

Libreswan, Openswan antik u strongSwan għandhom għodod tal-ġestjoni differenti, sintassi tal-konfigurazzjoni differenti u ordni tat-tqabbil differenti. Eżempju li jaħdem f'wieħed ma jgħid xejn preċiż dwar il-prijorità tal-għażla tal-profil jew il-formulazzjoni tal-iżbalji ta' ieħor, għalhekk ivverifika mad-dokumentazzjoni tad-daemon fuq dan il-host.

Ikkorrela attentat wieħed mill-bidu sat-tmiem: l-indirizz tas-sors tal-inizjatur, l-identità offruta u l-għażliet proposti — kontra l-messaġġ tal-għażla tar-risponditur u l-entrata mgħobbija li jsemmi. Il-kontaturi tal-enkapsulazzjoni u d-dekapsulazzjoni żero jgħidu biss li l-assoċjazzjonijiet osservati ma ġarrewx dawk il-pakketti; ma jsemmux il-punt tat-tarf li rrifjuta l-proposta u ma jippruvawx li f'dak il-mument kienet teżisti entrata li taqbel.

Wara korrezzjoni kkoordinata, ikkonferma l-profil u l-assoċjazzjoni magħżula, imbagħad ipprova s-servizz li tassew hu permess u l-mogħdija tar-risposta tiegħu. Tqabbil tal-profil jippermetti n-negozjar, u n-negozjar mhuwiex l-aħħar verifika tal-aċċess.