MAC li ma taqbilx fl-IKE ifisser li l-verifika tal-kjavi kondiviża falliet

Il-log tal-Cloud VPN tiegħek juri tentattiv ta' kjavi kondiviża segwit minn MAC mismatched, u l-ewwel istint spiss ikun li tfittex problema fl-indirizz. F'dan il-fergħa MAC huwa kodiċi ta' awtentikazzjoni tal-messaġġ: valur ikkalkulat fuq l-iskambju bil-kjavi nnegozjata. Il-pari qabbel il-kalkolu tiegħu stess mal-valur li rċieva, u kienu differenti. Hawn ma tidħol l-ebda karta tan-netwerk, u l-ebda setting tal-interface ma jbiddel dik il-paragun.

Fil-prattika żewġ kundizzjonijiet jiġġenerawha: is-sigrieti fiż-żewġ truf mhumiex l-istess valur, jew l-identitajiet użati biex jintgħażel is-sigriet ma jikkorrispondux. Iddeċiedi liema billi taqra l-par, mhux it-tunnel wieħed.

X'jipprova l-istadju

Il-verifika taħdem wara li ż-żewġ naħat ikunu skambjaw il-parametri inizjali u identifikaw ruħhom. Hija tagħżel kjavijiet kondiviżi kandidati għall-identità lokali u remota u tipprova tivvalida d-data ta' awtentikazzjoni li rċeviet; meta ħadd ma jivvalida, tinħareġ id-dijanjosi. Dik hija dikjarazzjoni b'saħħitha dwar l-awtentikazzjoni u dgħajfa dwar il-kawża, għax ma tgħidx liema naħa hija ħażina.

Is-suċċess preċedenti ma jgħaddix għal din il-verifika. IKE_SA_INIT komplut, jew payload ta' skoperta tan-NAT li rritorna l-valuri mistennija, jipprova li l-pari jistgħu jitkellmu. Ma jipprovax xejn dwar jekk jaqsmu sigriet.

Żewġ żbalji ta' konfigurazzjoni, messaġġ wieħed

L-ewwel hija nuqqas ta' qbil reali fis-sigriet, u normalment huwa inċident tal-provvista: valur iġġenerat installat fuq console waħda u jerġa' jiġi ttipjat fuq l-oħra, karattru tat-tmiem li baqa' fuq naħa waħda, jew virgoletta li ġiet ma' paste. It-tieni hija nuqqas ta' qbil fl-identità, fejn is-sigriet huwa korrett imma l-identità li tippreżenta l-pari tagħżel entrata oħra, allura s-sigriet korrett qatt ma jiġi ppruvat. It-tnejn jagħtu l-istess linja, għalhekk it-tbassir jiswa waranofsinhar.

Qabbel il-par qabel ma tmiss ebda sigriet. Qabbil it-tunnel, l-endpoint tal-pari, it-tieqa tal-ħin u l-konfigurazzjoni remota, għax żewġ tunnels żejda jistgħu jżommu sigrieti differenti u l-iskrin quddiemek jista' ma jkunx dak li falla.

L-iskoperta tan-NAT hija stadju differenti

L-iskoperta tan-NAT tistaqsi kif il-pakketti jerġgħu jinkitbu, mhux min hu l-pari. Gateway tal-klijent wara NAT xorta jawtentika b'mod korrett meta l-identità kkonfigurata tiegħu hija dik li tistenna l-pari, u problema tan-NAT tidher bħala nuqqas ta' qbil fil-proposta jew fil-port minflok paragun ta' awtentikazzjoni fallut.

Tġorrx dikjarazzjoni qadima dwar rilaxx wieħed ta' fornitur f'deploy attwali. Dak li titlob it-traversata tan-NAT fir-rilaxx tiegħek jappartjeni għad-dokumentazzjoni tiegħu stess, u l-frażi MAC mismatch mhijiex evidenza favur jew kontra.

Iddeċiedi mill-par, mhux mill-iskrin

Aqra ż-żewġ konfigurazzjonijiet ħdejn xulxin bis-sigriet moħbi, imbagħad staqsi tliet mistoqsijiet. L-identità fuq kull naħa hija eżattament dak li tistenna l-oħra, karattru b'karattru? Iż-żewġ truf jużaw l-istess verżjoni tal-IKE u l-istess metodu ta' awtentikazzjoni? It-tunnel li qed ifalli jikkorrispondi għall-konfigurazzjoni li qed taqra? 'Le' għal xi waħda minnhom tiddeċiedi t-tiswija mingħajr ma tmiss is-sigriet.

Jekk it-tlieta huma nodfa, ibdel is-sigriet permezz tal-fluss tax-xogħol approvat minflok ma teditja madwaru.

Wara li l-pari jawtentika

Ladarba l-awtentikazzjoni tirnexxi, l-wiċċ tal-falliment li jmiss hija l-assoċjazzjoni tas-sigurtà tifel: proposti u seletturi tat-traffiku. Id-dawran ta' sigriet li diġà ġie aċċettat ma jistax isewwi falliment tat-tifel, u jtawwal it-tfixkil. Aqra l-istat tat-tifel, imbagħad is-seletturi u l-firxiet protetti fuq iż-żewġ naħat, u qabbil il-gwida tal-soluzzjoni tal-problemi tal-Cloud VPN mal-istadju li tassew falla.

Korrela logs friski miż-żewġ truf għall-istess par u l-istess tieqa. Naħa waħda waħedha tagħti verdett mingħajr l-input tal-oħra, u dik hija l-ambigwità li pproduċiet il-messaġġ fil-bidu.

X'ma għandux jiġi konkluż

Taqrax il-messaġġ bħala talba biex jinbidlu l-indirizzi MAC, u tippubblikax is-sigriet kondiviż waqt li titlob għajnuna; silta li fiha ċ-ċavetta teħtieġ iċ-ċavetta mneħħija, mhux il-log miżmum. Tassumix lanqas ħsara fl-irrotar, għax pari li ma jistgħux jilħqu lil xulxin ma jipproduċu ebda paragun ta' awtentikazzjoni. U tiġġeneralizzax limitazzjoni dokumentata ta' familia ta' prodotti għal kull implimentazzjoni tal-IPsec.

Irreġistra l-par li qed ifalli, l-istat tat-tunnel qabel u wara, u liema miż-żewġ kundizzjonijiet biddilt. Dik ir-reġistrazzjoni ddawwar l-okkorrenza li jmiss fi verifika ta' ħames minuti.