کله چې IKEv2 TS_UNACCEPTABLE بیرته راولي، اصلي فرعي شبکې پرتله کړئ

TS_UNACCEPTABLE د پوښښ په اړه د ناسمې موافقې په توګه ولولئ، نه د خراب پروفایل په توګه۔ دروازه وايي چې دواړه خواوې نشي کولای سره هوکړه وکړي چې دا تونل کوم پته ولیږدولای شي۔ په هغه شیبه کې IKE SA ممکن دمخه پورته وي، نو ځکه کليانټ ممکن د شا کې پرته له کوم ماشوم SA هم نښلول شوی ښکاره شي۔ کله چې دا داسې چوکاټ کړئ، کار میکانیکي کیږي۔ د دواړو خواوو پلان شوي مخکښونه ولیکئ، په یوه لوري یې پرتله کړئ، او تر هغه پورې تنګ یې کړئ چې یو بل ته ورننوځي۔

لومړی پلان شوې جوړې ولیکئ

د ترتیب د لاس وهلو دمخه څلور ارزښتونه ولیکئ: د پیل کوونکي د سرچینې ساحه، د هغه د منزل ساحه، او هغه جوړه چې د ځواب ورکوونکي له اړخه لیدل کیږي۔ د هر یوه د پتې کورنۍ هم ولیکئ۔ IPv4 ساحه او IPv6 ساحه بېلابېل د ټاکلو ډولونه دي، او هیڅ یو هم د بل په بار کې نشي تاوول کیدای۔

هر هغه پروتوکول یا پورټ محدودیت چې پالیسي یې لري اضافه کړئ۔ هغه قاعده چې یوازې TCP 445 ته د فایل سرور اجازه ورکوي، د هغه فرعي شبکې څخه تنګه مجموعه بیانوي چې پکې ده۔ که دا له خپلو یادښتونو وباسئ، د خبرو اترو پایله به د نامعلومو لاملونو له امله ناسمه ښکاره شي۔

د پرتلې دمخه نښې بدلې کړئ

ځایي او لیرې نسبي نښې دي۔ د کليانټ ځایي مخکښ د دروازې لیرې ساحه ده، او د دروازې ځایي ساحه د کليانټ لیرې ساحه ده۔ نو ځکه د دواړو څنډو سکرین شاټونه هېڅکله نه سره سمون خوري، او د هغو لغوي پرتله کول د یوې ماسپښین ضایع کولو عادي لاره ده۔

ځواب ورکوونکی کولای شي وړاندیز د ردولو پرځای منلو وړ فرعي مجموعې ته تنګ کړي۔ هغه پایله له پاکې ناکامۍ څخه بدتره ده، ځکه چې نیمګړې کار کوي۔ کله چې پالیسي 10.0.5.0/24 ته اجازه ورکوي، 10.0.0.0/16 وغواړئ، او کیدای شي یوازې هغه /24 پوښلوونکي ماشوم SA سره پای ته ورسئ۔ یو کوربه ځواب ورکوي، نور هر څه بهر ورځي، او په کليانټ کې هېڅ شی دا نه وايي۔ د دې پایلې دمخه چې خبرې اترې بریالۍ شوې، غوښتل شوي نه بلکې منل شوي ټاکونکي ولولئ۔

هغه road warrior پروفایلونه چې ډیفالټ لاره غواړي دلته تل راځي۔ د ویشل شوي لاسرسي لپاره جوړه شوې دروازه د بشپړې ساحې وړاندیز خپلو فرعي شبکو ته تنګوي، او کليانټ باید تنګه پایله ومني یا په لوړ غږ ناکام شي۔

له یوې هڅې څخه ردول ولولئ

د یوې اړیکې هڅې دواړه لاګونه راټول کړئ۔ ساتل شوی پروفایل ښیي چې تاسو څه ترتیب کړي، نه دا چې څه وړاندیز شوي، او په strongSwan کې swanctl --log ترلاسه شوې خبرتیا د هغو ټاکونکو سره چاپوي چې له ځانه وړي وو۔

بیا وګورئ چې واقعاً څه نصب شول۔ swanctl --list-sas د ماشوم SA ټاکونکي ښیي، او ip xfrm policy هغه ساحې د کرنل پالیسي ننوتونو په توګه ښیي۔ په هغه لیست کې ناټاکلي ټاکونکي لرونکی ماشوم SA د تنګیدو پېښه ده؛ په لاګ کې پرته له ماشوم SA څخه TS_UNACCEPTABLE ردول دي۔

تر هغه چې هلته یاست، نږدې ګاونډیان جلا کړئ۔ INVALID_SELECTORS د جوړ شوي ماشوم SA دننه د ټاکونکي په اړه شکایت کوي، پداسې حال کې چې INTERNAL_ADDRESS_FAILURE مانا دا ده چې ځواب ورکوونکی نشي کولای مجازي پته ورکړي، دا د حوض ستونزه ده نه د پوښښ۔

وګورئ چې څه په چوپتیا مجموعه کموي

درې شیان پرته له دې چې څه ووایي د ټاکونکو مجموعه کموي۔ لومړی د ځواب ورکوونکي پالیسي ده، د فرعي شبکو لیستونو، ډلې قواعدو یا د هر کاروونکي اجازې له لارې چې وړاندیز فرعي مجموعې ته راکموي۔ دویمه د پتې کورنۍ ده: دوه ګونی سټک کليانټ ډیری وخت IPv6 د IPv4 سره وړاندیز کوي او د هغو ساحو لپاره ردول ترلاسه کوي چې دروازې هېڅکله ترتیب نه کړې۔

دریم د پروتوکول او پورټ محدودیتونه دي۔ چیرته چې پالیسي یوازې TCP 445 ته اجازه ورکوي، ماشوم SA پورته کیدای شي پداسې حال کې چې ICMP او UDP بهر پاتې کیږي، او کاروونکی د مات شوي تونل شکایت کوي کله چې یوازې یو پروتوکول اجازه درلوده۔

نو یوازې د پتو پراخول نشي کولای د پورټ محدود پالیسي سم کړي، او دا هغه حالت دی چې تر ټولو ډیر احتمال لري چې له درې پړاوونو د ستونزې حل وروسته هم بدلون نه وي منلی۔

د مناسب ترافیک سره پوښښ ثابت کړئ

وروسته له دې چې ماشوم SA نصب شو، یوه غوښتنه ولېږئ چې یقیناً د منل شوو ساحو دننه ورځي۔ د حالت آیکون پرځای کاونټرونه وګورئ: کله چې پاکټ سره سمون وخوري او وساتل شي، ip -s xfrm state او د ip xfrm policy شاته کاونټرونه زیاتيږي۔ هغه بایټ شمېره چې له واقعي ترافیک وروسته هم په صفر پاتې کیږي مانا دا ده چې کرنل هغه پالیسي هېڅکله نه ده ټاکلې۔

هغه صفر د لارې یا د پالیسي ترتیب ستونزه ده، د کریپټو ستونزه نه ده۔ د کاروونکي له ځایه دا د ټاکونکي د ردولو سره ورته ښکاریږي، نو ځکه د پروفایل د بیا پرانیستلو دمخه کاونټرونه راټولول ارزښت لري۔ هغه کاونټرونه چې یوازې په یوه لوري زیاتیږي، پرځای یې د بېرته راستنیدو لار ښیي۔

د منل شوې جوړې په ټیکټ کې، د پیل غوښتل شوې ساحې ترڅنګ لیکلو سره پای ته ورسئ۔ ټاکنه د اړتیا په اندازه تنګه وساتئ، ځکه چې د شخصي ساحې د ټولو پتو سره بدلولو او غلطي له منځه وړلو حساب ته له تصویب شوې څخه ډیر لاسرسی ورکوي۔