Fem adresseroller i ein IPsec-profil, og kva for ein som er feil

Fem ulike oppgåver får ei adresse i ein typisk tilkoplingsdefinisjon, og dei treng ikkje å stemme overeins. Administratorar går i stå fordi eit fornuftig instinkt, å peike alle felta mot same vert, er feil for minst tre av dei. Vegen ut er å først namngje symptomet og deretter sjå på det eine eller dei to felta som kan framkalle det.

Dei fem oppgåvene, i den rekkjefølgja dei tyder noko

Transportendepunktet er der IKE-utvekslinga vert levert. Den autentiserte identiteten er namnet kvar side bevisar, og han vert kontrollert mot policy og ikkje mot ei rutetabell. Dei verna subnettet er selektorane som avgjer kva indre trafikk som høyrer til tunnelen. Så er det kjelda som vert brukt når gatewayen sjølv startar ein samtale, og til slutt neste hopp i underlaget for å nå peeren.

Deltakarmerke som left og right er konvensjonar for to sider av ei tilkopling, ikkje synonym for lokal og ekstern. Les handboka for implementasjonen som faktisk er installert før du går ut frå at ein nøkkel tyder det eit anna produkt meinte med han.

Avgjerd éin: ingenting vert etablert

Når det ikkje viser seg noka utveksling i loggane i det heile, er endepunktet den første mistenkte: ei feil adresse, ein filtrert veg eller eit grensesnitt som daemonen ikkje lyttar på. Flytt til identitetsfelta først når eit handtrykk er synleg, fordi identitet vert vurdert inne i utvekslinga, ikkje før ho. Ein filtrert veg og ei feil adresse ser identiske ut frå klienten, så kontroller den lyttande sida før du redigerer noko. Stadfest at daemonen er bunden til grensesnittet du ventar, fordi ei teneste som lyttar på éi adresse ser nøyaktig ut som ein blokkert veg.

Ei offentleg adresse observert gjennom omsetjing er ikkje det same som identiteten ein peer bevisar. Å endre ei adresse for å matche det eit pakkefangst viser i den fjerne enden er ei vanleg og feil retting.

Avgjerd to: tunnelen er oppe og trafikken døyr

Selektorane avgjer kva som kjem inn i tunnelen, og eit avvik her gir ei tilkopling som forhandlar med hell medan applikasjonen framleis feilar. Den fjerne sida må namngje ditt verna område som sitt eksterne område, og det er nettopp der omvende verdiar snik seg inn.

Les båe konfigurasjonane side ved side før du redigerer. Det lokale området på éin vert er det eksterne området på den andre, og eitt enkelt bytt par forklarar ein tunnel som ikkje ber noko. Snevre inn paret før du rører nøklane: eitt subnett inne i tunnelen og eitt utanfor fortel deg om det er selektoren eller rutinga som er skuld i det.

Avgjerd tre: berre gatewayen sin eigen trafikk feilar

Trafikk som vert vidaresend for klientar kan fungere perfekt medan ein førespurnad gatewayen sjølv startar feilar, fordi den straumen ikkje har noka klientkjelde å arve. Innstillinga for føretrekt kjelde finst nettopp for dette tilfellet, og ho er ikkje kjeldeomsetjing: ho vel ei kjeldeadresse i staden for å skrive om éi.

Ein applikasjon som uttrykkeleg bind ei anna adresse kan overstyre preferansen, så stadfest den faktiske kjelda til pakken før du konkluderer med at innstillinga vert ignorert. Fang på gatewayen sitt eige grensesnitt i staden for å stole på hensikta til konfigurasjonen.

Neste hopp er ein lokal instruks

Neste hopp i underlaget fortel denne verten korleis peeren vert nådd, og den fjerne sida treng ikkje same verdi. Å handsame det som ei delt innstilling, eller hardkode ein standardgateway, bryt saman i det augneblinken ruta vert endra eller ein andre veg dukkar opp.

Nokre implementasjonar tilbyr spesielle verdiar her. Det handboka listar for den installerte versjonen er det einaste trygge svaret, og den lokale rutetabellen er beviset på at det verka. Når ein peer kan nåast på namn men ikkje på adresse, er det avviket funnet, ikkje ein detalj å arbeide seg rundt.

Les profilen frå båe endar

Å snu rollene på papiret er den raskaste gjennomgangen som finst: byt dei verna områda, hald kvar side sin eigen neste hopp og kvar side sin eigen identitet. Alt som ikkje overlever byttet er truleg tildelt feil oppgåve.

Test deretter éin straum per rolle: nåbarheit mellom peere, ein indre klientstraum og ein førespurnad som går ut frå gatewayen. Tre testar fortel deg kva oppgåve som er tildelt feil utan å opne konfigurasjonen igjen. Legg resultatet til saka ved sida av feltet du endra, fordi den neste ingeniøren vil møte same profil.