ਜਦੋਂ IKEv2 TS_UNACCEPTABLE ਮੋੜਦਾ ਹੈ, ਅਸਲ ਸਬਨੈੱਟਾਂ ਦੀ ਤੁਲਨਾ ਕਰੋ

TS_UNACCEPTABLE ਨੂੰ ਖਰਾਬ ਪਰੋਫ਼ਾਈਲ ਨਹੀਂ, ਸਗੋਂ ਕਵਰੇਜ ਬਾਰੇ ਅਸਹਿਮਤੀ ਵਜੋਂ ਪੜ੍ਹੋ। ਗੇਟਵੇ ਕਹਿ ਰਿਹਾ ਹੈ ਕਿ ਦੋਵੇਂ ਧਿਰਾਂ ਇਸ ਗੱਲ 'ਤੇ ਸਹਿਮਤ ਨਹੀਂ ਹੋ ਸਕੀਆਂ ਕਿ ਇਹ ਟਨਲ ਕਿਹੜੇ ਪਤੇ ਢੋ ਸਕਦੀ ਹੈ। ਉਸ ਪਲ IKE SA ਪਹਿਲਾਂ ਹੀ ਉੱਪਰ ਹੋ ਸਕਦੀ ਹੈ, ਇਸੇ ਲਈ ਕਲਾਇੰਟ ਪਿੱਛੇ ਕੋਈ ਚਾਈਲਡ SA ਤੋਂ ਬਿਨਾਂ ਵੀ ਜੁੜਿਆ ਦਿਖ ਸਕਦਾ ਹੈ। ਇਸ ਤਰ੍ਹਾਂ ਢਾਂਚਾ ਬਣਾਉਣ 'ਤੇ ਕੰਮ ਯਾਂਤ੍ਰਿਕ ਹੋ ਜਾਂਦਾ ਹੈ। ਦੋਵੇਂ ਧਿਰਾਂ ਦੇ ਇੱਛਤ ਪ੍ਰੀਫ਼ਿਕਸ ਲਿਖੋ, ਇੱਕੋ ਦਿਸ਼ਾ ਵਿੱਚ ਉਨ੍ਹਾਂ ਦੀ ਤੁਲਨਾ ਕਰੋ, ਅਤੇ ਉਹ ਕੱਟਣ ਤੱਕ ਤੰਗ ਕਰੋ।

ਪਹਿਲਾਂ ਇੱਛਤ ਜੋੜੀਆਂ ਲਿਖੋ

ਸੰਰਚਨਾ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਚਾਰ ਮੁੱਲ ਗਿਣੋ: ਸ਼ੁਰੂ ਕਰਨ ਵਾਲੇ ਦੀ ਸਰੋਤ ਰੇਂਜ, ਉਸਦੀ ਮੰਜ਼ਿਲ ਰੇਂਜ, ਅਤੇ ਉਹੀ ਜੋੜੀ ਜਵਾਬ ਦੇਣ ਵਾਲੇ ਪਾਸਿਓਂ ਦੇਖੀ ਗਈ। ਹਰੇਕ ਦਾ ਪਤਾ-ਪਰਿਵਾਰ ਵੀ ਦਰਜ ਕਰੋ। IPv4 ਰੇਂਜ ਅਤੇ IPv6 ਰੇਂਜ ਵੱਖਰੇ ਚੋਣਕਾਰ ਕਿਸਮਾਂ ਹਨ, ਅਤੇ ਕਿਸੇ ਨੂੰ ਵੀ ਦੂਜੇ ਦੇ ਪੇਲੋਡ ਵਿੱਚ ਨਹੀਂ ਮੋੜਿਆ ਜਾ ਸਕਦਾ।

ਨੀਤੀ ਜੋ ਵੀ ਪ੍ਰੋਟੋਕਾਲ ਜਾਂ ਪੋਰਟ ਪਾਬੰਦੀ ਲੈ ਕੇ ਆਉਂਦੀ ਹੈ, ਉਹ ਸ਼ਾਮਲ ਕਰੋ। ਸਿਰਫ਼ TCP 445 ਨੂੰ ਫ਼ਾਈਲ ਸਰਵਰ ਵੱਲ ਮਨਜ਼ੂਰੀ ਦੇਣ ਵਾਲਾ ਨਿਯਮ, ਉਸ ਸਬਨੈੱਟ ਨਾਲੋਂ ਤੰਗ ਸਮੂਹ ਦੱਸਦਾ ਹੈ ਜਿਸ ਵਿੱਚ ਉਹ ਬੈਠਦਾ ਹੈ। ਇਸਨੂੰ ਆਪਣੀਆਂ ਟਿੱਪਣੀਆਂ ਤੋਂ ਬਾਹਰ ਛੱਡੋ ਤਾਂ ਗੱਲਬਾਤ ਦਾ ਨਤੀਜਾ ਅਜਿਹੇ ਕਾਰਨਾਂ ਕਰਕੇ ਅਸੰਗਤ ਦਿਸੇਗਾ ਜੋ ਤੁਸੀਂ ਨਹੀਂ ਵੇਖਦੇ।

ਤੁਲਨਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਲੇਬਲ ਉਲਟੋ

ਸਥਾਨਕ ਅਤੇ ਦੂਰਲੇ ਸਾਪੇਖ ਲੇਬਲ ਹਨ। ਕਲਾਇੰਟ ਦਾ ਸਥਾਨਕ ਪ੍ਰੀਫ਼ਿਕਸ ਗੇਟਵੇ ਦੀ ਦੂਰਲੀ ਰੇਂਜ ਹੈ, ਅਤੇ ਗੇਟਵੇ ਦੀ ਸਥਾਨਕ ਰੇਂਜ ਕਲਾਇੰਟ ਦੀ ਦੂਰਲੀ ਹੈ। ਇਸ ਲਈ ਦੋਵੇਂ ਸਿਰਿਆਂ ਦੇ ਸਕ੍ਰੀਨਸ਼ਾਟ ਕਦੇ ਨਹੀਂ ਮਿਲਦੇ, ਅਤੇ ਉਨ੍ਹਾਂ ਦੀ ਸ਼ਬਦੀ ਤੁਲਨਾ ਕਰਨਾ ਦੁਪਹਿਰ ਗੁਆਉਣ ਦਾ ਆਮ ਤਰੀਕਾ ਹੈ।

ਜਵਾਬ ਦੇਣ ਵਾਲਾ ਪੇਸ਼ਕਸ਼ ਨੂੰ ਰੱਦ ਕਰਨ ਦੀ ਥਾਂ ਸਵੀਕਾਰਯੋਗ ਉਪਸਮੂਹ ਤੱਕ ਤੰਗ ਕਰ ਸਕਦਾ ਹੈ। ਉਹ ਨਤੀਜਾ ਸਾਫ਼ ਅਸਫ਼ਲਤਾ ਨਾਲੋਂ ਮਾੜਾ ਹੈ, ਕਿਉਂਕਿ ਉਹ ਅੱਧਾ ਕੰਮ ਕਰਦਾ ਹੈ। ਜਦੋਂ ਨੀਤੀ 10.0.5.0/24 ਦੀ ਮਨਜ਼ੂਰੀ ਦਿੰਦੀ ਹੈ ਤਾਂ 10.0.0.0/16 ਮੰਗੋ, ਅਤੇ ਤੁਸੀਂ ਸਿਰਫ਼ ਉਸ /24 ਨੂੰ ਢਕਣ ਵਾਲੀ ਚਾਈਲਡ SA 'ਤੇ ਖ਼ਤਮ ਹੋ ਸਕਦੇ ਹੋ। ਇੱਕ ਹੋਸਟ ਜਵਾਬ ਦਿੰਦਾ ਹੈ, ਬਾਕੀ ਸਭ ਬਾਹਰ ਡਿੱਗਦਾ ਹੈ, ਅਤੇ ਕਲਾਇੰਟ ਵਿੱਚ ਕੁਝ ਵੀ ਇਹ ਨਹੀਂ ਕਹਿੰਦਾ। ਗੱਲਬਾਤ ਸਫਲ ਹੋਈ ਇਹ ਸਿੱਟਾ ਕੱਢਣ ਤੋਂ ਪਹਿਲਾਂ ਮੰਗੇ ਗਏ ਨਹੀਂ, ਸਗੋਂ ਸਵੀਕਾਰ ਕੀਤੇ ਚੋਣਕਾਰ ਪੜ੍ਹੋ।

ਡਿਫ਼ਾਲਟ ਰੂਟ ਮੰਗਣ ਵਾਲੇ ਰੋਡ-ਵਾਰੀਅਰ ਪਰੋਫ਼ਾਈਲ ਇੱਥੇ ਲਗਾਤਾਰ ਆਉਂਦੇ ਹਨ। ਵੰਡਿਆ ਪਹੁੰਚ ਲਈ ਬਣਿਆ ਗੇਟਵੇ ਪੂਰੀ-ਰੇਂਜ ਦੀ ਪੇਸ਼ਕਸ਼ ਨੂੰ ਆਪਣੇ ਸਬਨੈੱਟਾਂ ਤੱਕ ਤੰਗ ਕਰਦਾ ਹੈ, ਅਤੇ ਕਲਾਇੰਟ ਨੂੰ ਤੰਗ ਨਤੀਜਾ ਮੰਨਣਾ ਪਵੇਗਾ ਜਾਂ ਉੱਚੀ ਅਵਾਜ਼ ਵਿੱਚ ਅਸਫਲ ਹੋਣਾ ਪਵੇਗਾ।

ਇੱਕੋ ਕੋਸ਼ਿਸ਼ ਤੋਂ ਇਨਕਾਰ ਪੜ੍ਹੋ

ਇੱਕੋ ਕਨੈਕਸ਼ਨ ਕੋਸ਼ਿਸ਼ ਦੇ ਦੋਵੇਂ ਲਾਗ ਇਕੱਠੇ ਕਰੋ। ਸੰਭਾਲੀ ਪਰੋਫ਼ਾਈਲ ਦਿਖਾਉਂਦੀ ਹੈ ਕਿ ਤੁਸੀਂ ਕੀ ਸੰਰਚਿਤ ਕੀਤਾ, ਇਹ ਨਹੀਂ ਕਿ ਕੀ ਪੇਸ਼ ਕੀਤਾ ਗਿਆ, ਅਤੇ strongSwan 'ਤੇ swanctl --log ਪ੍ਰਾਪਤ ਸੂਚਨਾ ਨੂੰ ਉਸ ਦੇ ਨਾਲ ਲਏ ਚੋਣਕਾਰਾਂ ਸਮੇਤ ਛਾਪਦਾ ਹੈ।

ਫਿਰ ਵੇਖੋ ਕਿ ਅਸਲ ਵਿੱਚ ਕੀ ਸਥਾਪਿਤ ਹੋਇਆ। swanctl --list-sas ਚਾਈਲਡ SA ਦੇ ਚੋਣਕਾਰ ਦਿਖਾਉਂਦਾ ਹੈ, ਅਤੇ ip xfrm policy ਉਹੀ ਰੇਂਜਾਂ ਕਰਨਲ ਨੀਤੀ ਐਂਟਰੀਆਂ ਵਜੋਂ ਦਿਖਾਉਂਦਾ ਹੈ। ਉਸ ਸੂਚੀ ਵਿੱਚ ਤੁਹਾਡੇ ਇੱਛਤ ਨਾ ਹੋਏ ਚੋਣਕਾਰਾਂ ਵਾਲੀ ਚਾਈਲਡ SA ਤੰਗ ਹੋਣ ਦੀ ਘਟਨਾ ਹੈ; ਲਾਗ ਵਿੱਚ ਚਾਈਲਡ SA ਤੋਂ ਬਿਨਾਂ TS_UNACCEPTABLE ਹੋਣਾ ਇਨਕਾਰ ਹੈ।

ਉੱਥੇ ਹੁੰਦਿਆਂ ਨੇੜਲੇ ਗੁਆਂਢੀਆਂ ਨੂੰ ਵੱਖ ਕਰੋ। INVALID_SELECTORS ਸਥਾਪਿਤ ਚਾਈਲਡ SA ਦੇ ਅੰਦਰਲੇ ਚੋਣਕਾਰ ਬਾਰੇ ਸ਼ਿਕਾਇਤ ਕਰਦਾ ਹੈ, ਜਦੋਂ ਕਿ INTERNAL_ADDRESS_FAILURE ਦਾ ਅਰਥ ਹੈ ਕਿ ਜਵਾਬ ਦੇਣ ਵਾਲਾ ਵਰਚੁਅਲ ਪਤਾ ਨਹੀਂ ਦੇ ਸਕਿਆ, ਇਹ ਕਵਰੇਜ ਨਹੀਂ, ਪੂਲ ਦੀ ਸਮੱਸਿਆ ਹੈ।

ਕੀ ਚੁੱਪਚਾਪ ਸਮੂਹ ਨੂੰ ਛੋਟਾ ਕਰਦਾ ਹੈ, ਜਾਂਚੋ

ਤਿੰਨ ਚੀਜ਼ਾਂ ਕੁਝ ਨਾ ਕਹਿ ਕੇ ਚੋਣਕਾਰ ਸਮੂਹ ਨੂੰ ਛੋਟਾ ਕਰਦੀਆਂ ਹਨ। ਪਹਿਲੀ ਜਵਾਬ ਦੇਣ ਵਾਲੇ ਦੀ ਨੀਤੀ ਹੈ, ਸਬਨੈੱਟ ਸੂਚੀਆਂ, ਸਮੂਹ ਨਿਯਮ ਜਾਂ ਪ੍ਰਤੀ-ਵਰਤੋਂਕਾਰ ਅਧਿਕਾਰ ਰਾਹੀਂ ਪੇਸ਼ਕਸ਼ ਨੂੰ ਉਪਸਮੂਹ ਵਿੱਚ ਲਿਆਉਂਦੀ ਹੈ। ਦੂਜੀ ਪਤਾ-ਪਰਿਵਾਰ ਹੈ: ਦੋਹਰੀ ਸਟੈਕ ਕਲਾਇੰਟ ਅਕਸਰ IPv4 ਨਾਲ IPv6 ਪੇਸ਼ ਕਰਦਾ ਹੈ ਅਤੇ ਗੇਟਵੇ ਵੱਲੋਂ ਕਦੇ ਸੰਰਚਿਤ ਨਾ ਕੀਤੀਆਂ ਰੇਂਜਾਂ ਲਈ ਇਨਕਾਰ ਪਾਉਂਦਾ ਹੈ।

ਤੀਜੀ ਪ੍ਰੋਟੋਕਾਲ ਅਤੇ ਪੋਰਟ ਪਾਬੰਦੀਆਂ ਹਨ। ਜਿੱਥੇ ਨੀਤੀ ਸਿਰਫ਼ TCP 445 ਦੀ ਮਨਜ਼ੂਰੀ ਦਿੰਦੀ ਹੈ, ਉੱਥੇ ICMP ਅਤੇ UDP ਬਾਹਰ ਰਹਿੰਦਿਆਂ ਵੀ ਚਾਈਲਡ SA ਉੱਪਰ ਆ ਸਕਦੀ ਹੈ, ਅਤੇ ਵਰਤੋਂਕਾਰ ਟੁੱਟੀ ਟਨਲ ਦੀ ਸ਼ਿਕਾਇਤ ਕਰਦਾ ਹੈ ਜਦੋਂ ਕਿ ਸਿਰਫ਼ ਇੱਕ ਪ੍ਰੋਟੋਕਾਲ ਮਨਜ਼ੂਰ ਸੀ।

ਇਸ ਲਈ ਸਿਰਫ਼ ਪਤੇ ਚੌੜੇ ਕਰਨ ਨਾਲ ਪੋਰਟ-ਸੀਮਿਤ ਨੀਤੀ ਠੀਕ ਨਹੀਂ ਹੁੰਦੀ, ਅਤੇ ਇਹੀ ਉਹ ਕੇਸ ਹੈ ਜੋ ਤਿੰਨ ਦੌਰ ਦੀ ਸਮੱਸਿਆ-ਨਿਵਾਰਨ ਤੋਂ ਬਾਅਦ ਵੀ ਬਿਨਾਂ ਬਦਲਾਅ ਦੇ ਬਚਣ ਦੀ ਸਭ ਤੋਂ ਵੱਧ ਸੰਭਾਵਨਾ ਰੱਖਦਾ ਹੈ।

ਫਿੱਟ ਹੋਣ ਵਾਲੇ ਟ੍ਰੈਫ਼ਿਕ ਨਾਲ ਕਵਰੇਜ ਸਾਬਤ ਕਰੋ

ਚਾਈਲਡ SA ਸਥਾਪਿਤ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਸਵੀਕਾਰੀਆਂ ਰੇਂਜਾਂ ਦੇ ਅੰਦਰ ਪੱਕਾ ਪੈਣ ਵਾਲੀ ਇੱਕ ਬੇਨਤੀ ਭੇਜੋ। ਸਥਿਤੀ ਆਈਕਨ ਦੀ ਥਾਂ ਕਾਊਂਟਰ ਵੇਖੋ: ਪੈਕਟ ਮਿਲਣ ਅਤੇ ਸੁਰੱਖਿਅਤ ਹੋਣ 'ਤੇ ip -s xfrm state ਅਤੇ ip xfrm policy ਪਿੱਛੇ ਦੇ ਕਾਊਂਟਰ ਵਧਦੇ ਹਨ। ਅਸਲ ਟ੍ਰੈਫ਼ਿਕ ਤੋਂ ਬਾਅਦ ਵੀ ਸਿਫ਼ਰ 'ਤੇ ਰਹਿਣ ਵਾਲੀ ਬਾਈਟ-ਗਿਣਤੀ ਦਾ ਅਰਥ ਹੈ ਕਿ ਕਰਨਲ ਨੇ ਉਹ ਨੀਤੀ ਕਦੇ ਨਹੀਂ ਚੁਣੀ।

ਉਹ ਸਿਫ਼ਰ ਰੂਟਿੰਗ ਜਾਂ ਨੀਤੀ-ਕ੍ਰਮ ਦੀ ਸਮੱਸਿਆ ਹੈ, ਕ੍ਰਿਪਟੋ ਦੀ ਨਹੀਂ। ਵਰਤੋਂਕਾਰ ਦੀ ਥਾਂ ਤੋਂ ਇਹ ਚੋਣਕਾਰ ਇਨਕਾਰ ਵਰਗੀ ਹੀ ਦਿਸਦੀ ਹੈ, ਇਸ ਲਈ ਪਰੋਫ਼ਾਈਲ ਦੁਬਾਰਾ ਖੋਲ੍ਹਣ ਤੋਂ ਪਹਿਲਾਂ ਕਾਊਂਟਰ ਇਕੱਠੇ ਕਰਨਾ ਯੋਗ ਹੈ। ਸਿਰਫ਼ ਇੱਕ ਦਿਸ਼ਾ ਵਿੱਚ ਵਧਣ ਵਾਲੇ ਕਾਊਂਟਰ ਇਸ ਦੀ ਥਾਂ ਵਾਪਸੀ ਮਾਰਗ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੇ ਹਨ।

ਸਵੀਕਾਰੀ ਜੋੜੀ ਨੂੰ ਟਿਕਟ ਵਿੱਚ, ਮੂਲ ਰੂਪ ਵਿੱਚ ਮੰਗੀ ਰੇਂਜ ਦੇ ਨਾਲ ਲਿਖ ਕੇ ਪੂਰਾ ਕਰੋ। ਚੋਣ ਨੂੰ ਲੋੜ ਜਿੰਨੀ ਤੰਗ ਰੱਖੋ, ਕਿਉਂਕਿ ਨਿੱਜੀ ਰੇਂਜ ਨੂੰ ਸਾਰੇ ਪਤਿਆਂ ਨਾਲ ਬਦਲ ਕੇ ਗਲਤੀ ਹਟਾਉਣਾ ਖਾਤੇ ਲਈ ਮਨਜ਼ੂਰ ਕੀਤੇ ਨਾਲੋਂ ਕਿਤੇ ਵੱਧ ਪਹੁੰਚ ਦਿੰਦਾ ਹੈ।