Fem adresseroller i en IPsec-profil, og hvilken som er feil

Fem ulike oppgaver får en adresse i en typisk tilkoblingsdefinisjon, og de trenger ikke å stemme overens. Administratorer går i stå fordi en fornuftig instinkt, å peke alle feltene mot samme vert, er feil for minst tre av dem. Veien ut er å først navngi symptomet og deretter se på det ene eller de to feltene som kan fremkalle det.

De fem oppgavene, i den rekkefølgen de betyr noe

Transportendepunktet er der IKE-utvekslingen leveres. Den autentiserte identiteten er navnet hver side beviser, og den kontrolleres mot policy og ikke mot en rutetabell. De beskyttede subnettene er selektorene som avgjør hvilken indre trafikk som hører til tunnelen. Så er det kilden som brukes når gatewayen selv starter en samtale, og til slutt neste hopp i underlaget for å nå peeren.

Deltakeretiketter som left og right er konvensjoner for to sider av en tilkobling, ikke synonymer for lokal og ekstern. Les håndboken for implementasjonen som faktisk er installert før du antar at en nøkkel betyr det et annet produkt mente med den.

Beslutning én: ingenting etableres

Når det ikke vises noen utveksling i loggene i det hele tatt, er endepunktet den første mistenkte: en feil adresse, en filtrert vei eller et grensesnitt som daemonen ikke lytter på. Flytt til identitetsfeltene først når et håndtrykk er synlig, fordi identitet vurderes inne i utvekslingen, ikke før den. En filtrert vei og en feil adresse ser identiske ut fra klienten, så kontroller den lyttende siden før du redigerer noe. Bekreft at daemonen er bundet til grensesnittet du forventer, fordi en tjeneste som lytter på én adresse ser nøyaktig ut som en blokkert vei.

En offentlig adresse observert gjennom oversettelse er ikke det samme som identiteten en peer beviser. Å endre en adresse for å matche det en pakkefangst viser i den fjerne enden er en vanlig og feil rettelse.

Beslutning to: tunnelen er oppe og trafikken dør

Selektorene avgjør hva som kommer inn i tunnelen, og et avvik her gir en tilkobling som forhandler med hell mens applikasjonen fortsatt feiler. Den fjerne siden må navngi ditt beskyttede område som sitt eksterne område, og det er nettopp der omvendte verdier sniker seg inn.

Les begge konfigurasjonene side ved side før du redigerer. Det lokale området på én vert er det eksterne området på den andre, og ett enkelt byttet par forklarer en tunnel som ikke bærer noe. Snevre inn paret før du rører nøklene: ett subnett inne i tunnelen og ett utenfor forteller deg om det er selektoren eller rutingen som er skyld i det.

Beslutning tre: bare gatewayens egen trafikk feiler

Trafikk som videresendes for klienter kan fungere perfekt mens en forespørsel gatewayen selv starter feiler, fordi den strømmen ikke har noen klientkilde å arve. Innstillingen for foretrukket kilde finnes nettopp for dette tilfellet, og den er ikke kildeoversettelse: den velger en kildeadresse i stedet for å skrive om en.

En applikasjon som uttrykkelig binder en annen adresse kan overstyre preferansen, så bekreft pakkens faktiske kilde før du konkluderer med at innstillingen ignoreres. Fang på gatewayens eget grensesnitt i stedet for å stole på konfigurasjonens hensikt.

Neste hopp er en lokal instruks

Neste hopp i underlaget forteller denne verten hvordan peeren nås, og den fjerne siden trenger ikke samme verdi. Å behandle det som en delt innstilling, eller hardkode en standardgateway, bryter sammen i det øyeblikket ruten endres eller en andre vei dukker opp.

Noen implementasjoner tilbyr spesielle verdier her. Det håndboken lister for den installerte versjonen er det eneste trygge svaret, og den lokale rutetabellen er beviset på at det virket. Når en peer kan nås på navn men ikke på adresse, er det avviket funnet, ikke en detalj å arbeide seg rundt.

Les profilen fra begge ender

Å snu rollene på papiret er den raskeste gjennomgangen som finnes: bytt de beskyttede områdene, behold hver sides eget neste hopp og hver sides egen identitet. Alt som ikke overlever byttet er sannsynligvis tildelt feil oppgave.

Test deretter én strøm per rolle: nåbarhet mellom peere, en indre klientstrøm og en forespørsel som utgår fra gatewayen. Tre tester forteller deg hvilken oppgave som er tildelt feil uten å åpne konfigurasjonen igjen. Legg resultatet til saken ved siden av feltet du endret, fordi den neste ingeniøren vil møte samme profil.