Dolazni IPsec partner ne odgovara nijednom profilu? Provjerite četiri polja

Vaš partner javlja da je tunel podignut, vaša strana ne pokazuje nijednu sigurnosnu asocijaciju, a konfiguracijska datoteka očito sadrži odgovarajući naziv veze. Te tri tvrdnje mogu biti istovremeno istinite. Dolazno pregovaranje se upoređuje s pokrenutom konfiguracijom, prema adresi partnera, identitetu koji predstavlja i prometu koji predlaže. Datoteka na disku koja nikad nije učitana, identitet koji se ne podudara s očekivanom vrijednošću ili par selektora s razlikom od jednog prefiksa — svaki od njih proizvodi tišinu. Prođite kroz četiri grupe polja redom kojim ide odgovarač.

Pođite od paketa, a ne od datoteke

Odgovarač prima IKE zahtjev, traži opis koji može prihvatiti ovog partnera, a zatim nastavlja s provjerom identiteta i odabirom prometa. Ako se u prvom koraku ne podudara nijedan učitani opis, pregovaranje završava prije nego što ikakva korisna greška stigne do korisnika.

Zato „konfiguracija izgleda ispravno“ nije dokaz. Pitanje je šta je pokrenuta usluga učitala i koji je zapis odabrala za ovaj pokušaj. Popis stanja odgovara na to jednom naredbom, dok buffer uređivača odgovara na drugo pitanje. Provjerite popis prije nego ponovno promijenite datoteku.

Prva grupa polja: opis koji je stvarno učitan

Provjerite pokrenuto stanje alatom koji posjeduje daemon: naredbom stanja koja ispisuje učitane veze, a ne bufferom uređivača. Potvrdite da očekivani zapis postoji, da je omogućen za ponašanje pri pokretanju koje želite i da je učitan nakon vaše posljednje izmjene. Sačuvana datoteka koja nije ponovno učitana najčešći je uzrok rečenice „popravio sam i ništa se nije promijenilo“.

Potvrdite i koju datoteku usluga čita. Distribucije se razlikuju, a veza zapisana u pogrešno uključenje tiho se zanemaruje umjesto da bude odbijena. Ako popis stanja uopće ne prikazuje vaš zapis, posumnjajte u putanju uključenja prije nego u sintaksu.

Druga grupa polja: krajnje točke nisu identiteti

Adresa s koje se partner spaja i identitet kojim se potvrđuje dva su odvojena polja. Ime hosta, razlikovno ime, oznaka ključa i adresa mogu poslužiti kao IKE identitet ovisno o konfiguraciji i uopće ne moraju izgledati kao javna adresa.

Podudaranje krajnjih točaka može uključivati i NAT pogled: adresa viđena na mreži može se razlikovati od adrese za koju partner misli da je ima. U libreswanovom modelu veza, left i right oznake su dva sudionika, a ne fiksni redoslijed lokalnog i udaljenog, zato kopiranje ispravne konfiguracije s drugog lokaliteta uz zamjenu adresa nije pouzdan prijevod.

Zapišite očekivani identitet obiju strana i vjerodajnicu koja ga potvrđuje. Ako se ta dva retka ne slažu, nikakvo dotjerivanje adresa neće dati podudaranje.

Treća grupa polja: promet koji se štiti

Selektori opisuju unutarnje raspone izvora i odredišta, njihovu adresnu obitelj i svako ograničenje protokola ili porta. Prijedlog za adresu jednog hosta nije isti zahtjev kao za cijelu podmrežu, a odgovarač konfiguriran za podmrežu može ga odbiti ili suziti.

Kad se dva kraja ne slažu, usporedite namjeravani tok iz obje perspektive umjesto da proširite svaki selektor kako bi se nešto spojilo. Pitajte svakog administratora za tok koji misli da štiti, pa uporedite dva odgovora. Nesklad je obično prefiks hosta na jednoj strani i podmreža na drugoj. Tunel koji se podudara jer sada štiti sve druga je sigurnosna odluka i nitko ju nije odobrio.

Četvrta grupa polja: čitate jednu implementaciju

Libreswan, stariji Openswan i strongSwan imaju različite alate za upravljanje, različitu sintaksu konfiguracije i različit redoslijed podudaranja. Radni primjer iz jednog ništa točno ne govori o prioritetu odabira profila ili formulaciji grešaka drugog, zato provjerite u dokumentaciji za daemon na ovom hostu.

Povežite jedan pokušaj od početka do kraja: izvornu adresu pokretača, ponuđeni identitet i predložene selektore — s porukom odabira odgovarača i učitanim zapisom koji ona imenuje. Nulti brojači kapsuliranja i dekapsuliranja samo kažu da promatrane asocijacije nisu prenijele te pakete; oni ne imenuju krajnju točku koja je odbila prijedlog niti dokazuju da je u tom trenutku postojao odgovarajući zapis.

Nakon usklađene ispravke potvrdite odabrani profil i asocijaciju, zatim isprobajte stvarno dopuštenu uslugu i put njezina odgovora. Podudaranje profila omogućuje pregovaranje, a pregovaranje nije posljednja provjera pristupa.