MAC nepotrivit în IKE înseamnă că verificarea cheii partajate a eșuat

Jurnalul Cloud VPN arată o încercare cu cheie partajată urmată de mesajul că MAC nu se potrivește, iar primul instinct este adesea să cauți o problemă de adresă. În această ramură, MAC este un cod de autentificare a mesajului: o valoare calculată peste schimbul cu cheia negociată. Partenerul a comparat propriul calcul cu valoarea primită, iar acestea au diferit. Nu este implicată nicio placă de rețea, iar nicio setare de interfață nu schimbă acea comparație.

Două condiții îl produc în practică: secretele de la cele două capete nu sunt aceeași valoare sau identitățile folosite pentru a selecta secretul nu corespund. Stabilește care dintre ele citind perechea, nu tunelul singular.

Ce dovedește această etapă

Verificarea rulează după ce ambele părți au schimbat parametrii inițiali și s-au identificat. Selectează chei candidate pentru identitățile locală și la distanță și încearcă să valideze datele de autentificare primite; când niciuna nu validează, diagnosticul este emis. Aceasta este o afirmație puternică despre autentificare și una slabă despre cauză, pentru că nu spune care parte este greșită.

Succesul anterior nu se transferă în această verificare. Un IKE_SA_INIT finalizat, sau un payload de detectare NAT care a returnat valorile așteptate, dovedește că partenerii pot comunica. Nu dovedește nimic despre faptul că împărtășesc un secret.

Două erori de configurare, un singur mesaj

Prima este o nepotrivire reală a secretelor și este de obicei un accident de aprovizionare: o valoare generată instalată pe o consolă și rescrisă pe cealaltă, un caracter final care a supraviețuit pe o parte sau un ghilim care a venit la o lipire. A doua este o nepotrivire de identitate, în care secretul este corect, dar identitatea prezentată de partener selectează o altă intrare, astfel încât secretul potrivit nu este niciodată încercat. Ambele produc aceeași linie, de aceea ghicitul costă o după-amiază.

Compară perechea înainte de a atinge oricare dintre secrete. Potrivește tunelul, punctul final al partenerului, fereastra de timp și configurația la distanță, pentru că două tuneluri redundante pot avea secrete diferite, iar ecranul din fața ta poate să nu fie cel care a eșuat.

Detectarea NAT este o etapă diferită

Detectarea NAT întreabă cum sunt rescrise pachetele, nu cine este partenerul. Un gateway de client din spatele NAT se autentifică în continuare corect când identitatea configurată este cea pe care o așteaptă partenerul, iar o problemă NAT apare ca o nepotrivire de propunere sau de port, nu ca o comparație de autentificare eșuată.

Nu duce o afirmație veche despre o versiune de furnizor într-o implementare actuală. Ce cere traversarea NAT în versiunea ta aparține documentației acelei versiuni, iar sintagma MAC nepotrivit nu este dovadă nici pentru, nici împotrivă.

Decide după pereche, nu după ecran

Citește ambele configurații una lângă alta cu secretul mascat, apoi pune trei întrebări. Identitatea de pe fiecare parte este exact ceea ce așteaptă cealaltă, caracter cu caracter? Folosesc ambele capete aceeași versiune IKE și aceeași metodă de autentificare? Tunelul care eșuează corespunde configurației pe care o citești? Un nu la oricare dintre ele decide reparația fără a atinge secretul.

Dacă toate trei sunt curate, înlocuiește secretul prin fluxul de lucru aprobat, în loc să ocolești problema prin editare.

După ce partenerul se autentifică

Odată ce autentificarea reușește, următoarea suprafață de eșec este asocierea de securitate copil: propuneri și selectoare de trafic. Rotirea unui secret deja acceptat nu poate remedia o defecțiune a copilului și prelungește indisponibilitatea. Citește starea copilului, apoi selectoarele și intervalele protejate de pe ambele părți, și potrivește îndrumările de depanare Cloud VPN cu etapa care a eșuat de fapt.

Corelează jurnale proaspete de la ambele capete pentru aceeași pereche și aceeași fereastră. O singură parte oferă un verdict fără contribuția celeilalte, iar aceasta este exact ambiguitatea care a produs mesajul de la bun început.

Ce nu trebuie concluzionat

Nu citi mesajul ca o cerere de schimbare a adreselor MAC și nu publica secretul partajat când ceri ajutor; un fragment care conține cheia are nevoie ca cheia să fie eliminată, nu ca jurnalul să fie păstrat. Nu presupune nici o defecțiune de rutare, pentru că partenerii care nu se pot atinge nu produc deloc o comparație de autentificare. Și nu generaliza o limitare documentată dintr-o familie de produse la fiecare implementare IPsec.

Notează perechea care a eșuat, starea tunelului înainte și după și care dintre cele două condiții ai schimbat. Acea notă transformă următoarea apariție într-o verificare de cinci minute.