Cinci roluri de adresă într-un profil IPsec și care dintre ele este greșit
Punctul final, identitatea, subrețeaua protejată, sursa gateway-ului și următorul salt răspund fiecare la o altă întrebare. Potriviți mai întâi simptomul cu câmpul.
Cinci sarcini diferite primesc o adresă într-o definiție tipică de conexiune și nu trebuie să fie de acord între ele. Administratorii rămân blocați pentru că un instinct rezonabil, acela de a îndrepta toate câmpurile spre același gazdă, este greșit pentru cel puțin trei dintre ele. Ieșirea este să numiți mai întâi simptomul și apoi să priviți câmpul sau cele două câmpuri care l-ar putea produce.
Cele cinci sarcini, în ordinea importanței
Punctul final de transport este locul unde este livrat schimbul IKE. Identitatea autentificată este numele pe care fiecare parte îl demonstrează, și este verificată față de politică, nu față de un tabel de rutare. Subrețelele protejate sunt selectorii care decid ce trafic intern aparține tunelului. Apoi există sursa folosită când gateway-ul însuși începe o conversație și, în final, următorul salt al stratului inferior pentru a ajunge la partener.
Etichetele de participant precum left și right sunt convenții pentru cele două părți ale unei conexiuni, nu sinonime pentru local și la distanță. Citiți manualul implementării care este efectiv instalată înainte de a presupune că o cheie înseamnă ceea ce a înțeles alt produs prin ea.
| Job | Typical key | What fails when it is wrong |
|---|---|---|
| Transport endpoint | left, right | No IKE exchange at all |
| Authenticated identity | leftid, rightid | Exchange starts, peer rejects it |
| Protected subnets | leftsubnet, rightsubnet | Tunnel up, traffic not selected |
| Gateway source | leftsourceip, rightsourceip | Only gateway-originated flows fail |
| Underlay next hop | leftnexthop, rightnexthop | Peer unreachable from this host only |
Decizia unu: nimic nu se stabilește
Când în jurnale nu apare deloc niciun schimb, punctul final este primul suspect: o adresă greșită, o cale filtrată sau o interfață pe care demonul nu ascultă. Treceți la câmpurile de identitate doar după ce strângerea de mână este vizibilă, pentru că identitatea este judecată în interiorul schimbului, nu înainte. O cale filtrată și o adresă greșită arată identic din partea clientului, așa că verificați partea care ascultă înainte de a edita ceva. Confirmați că demonul este legat de interfața la care vă așteptați, pentru că un serviciu care ascultă pe o adresă arată exact ca o cale blocată.
O adresă publică observată prin traducere nu este același lucru cu identitatea pe care o demonstrează un partener. Modificarea unei adrese pentru a corespunde cu ceea ce arată o captură de pachete la capătul îndepărtat este o corecție obișnuită și greșită.
Decizia doi: tunelul este ridicat și traficul moare
Selectorii decid ce intră în tunel, iar o nepotrivire aici produce o conexiune care negociază cu succes în timp ce aplicația încă eșuează. Partea îndepărtată trebuie să numească intervalul dumneavoastră protejat drept intervalul ei la distanță, și exact acolo se strecoară valori inversate.
Citiți ambele configurații alături înainte de a edita. Intervalul local de pe un gazdă este intervalul la distanță de pe cealaltă, iar o singură pereche inversată explică un tunel care nu transportă nimic. Îngustați perechea înainte de a atinge cheile: o subrețea în interiorul tunelului și una în exterior vă spun dacă vina este a selectorului sau a rutării.
Decizia trei: eșuează doar traficul propriu al gateway-ului
Traficul redirecționat pentru clienți poate funcționa perfect în timp ce o cerere începută de gateway-ul însuși eșuează, pentru că acel flux nu are o sursă de client de moștenit. Setarea sursei preferate există exact pentru acest caz și nu este traducere de sursă: alege o adresă de sursă în loc să rescrie una.
O aplicație care leagă explicit altă adresă poate trece peste preferință, așa că confirmați sursa reală a pachetului înainte de a concluziona că setarea este ignorată. Capturați pe interfața proprie a gateway-ului în loc să vă bazați pe intenția configurației.
Următorul salt este o instrucțiune locală
Următorul salt al stratului inferior spune acestui gazdă cum să ajungă la partener, iar partea îndepărtată nu are nevoie de aceeași valoare. Tratarea lui ca setare partajată sau codificarea rigidă a unui gateway implicit se rupe în momentul în care ruta se schimbă sau apare o a doua cale.
Unele implementări oferă valori speciale aici. Ceea ce manualul listează pentru versiunea instalată este singurul răspuns sigur, iar tabelul de rutare local este dovada că a funcționat. Când un partener este accesibil după nume dar nu după adresă, acea nepotrivire este constatarea, nu un detaliu de ocolit.
Citiți profilul de la ambele capete
Inversarea rolurilor pe hârtie este cea mai rapidă revizuire care există: schimbați intervalele protejate, păstrați următorul salt propriu al fiecărei părți și identitatea proprie a fiecărei părți. Tot ce nu supraviețuiește schimbului este probabil atribuit sarcinii greșite.
Apoi testați un flux pe rol: accesibilitate între parteneri, un flux de client intern și o cerere originată în gateway. Trei teste vă spun care sarcină este atribuită greșit fără a redeschide configurația. Adăugați rezultatul la tichet lângă câmpul pe care l-ați modificat, pentru că următorul inginer va întâlni același profil.