Neslaganje MAC u IKE znači da provjera zajedničkog ključa nije uspjela

Dnevnik Cloud VPN-a pokazuje pokušaj sa zajedničkim ključem nakon kojeg slijedi poruka da se MAC ne slaže, a prvi nagon je često traženje problema s adresom. U ovoj grani MAC je kod za autentifikaciju poruke: vrijednost izračunata nad razmjenom s dogovorenim ključem. Par je uporedio vlastito izračunavanje s primljenom vrijednošću, i one su se razlikovale. Nijedna mrežna kartica nije uključena, i nijedna postavka sučelja ne mijenja to poređenje.

U praksi to proizvode dva uslova: tajne na dva kraja nisu ista vrijednost ili identiteti kojima se tajna bira ne odgovaraju jedan drugom. Odredite koji tako što ćete pročitati par, a ne pojedinačni tunel.

Šta ova faza dokazuje

Provjera se izvršava nakon što su obje strane razmijenile početne parametre i predstavile se. Ona bira kandidate za ključeve za lokalni i udaljeni identitet i pokušava validirati primljene podatke za autentifikaciju; kada nijedan ne prođe, dijagnostika se ispisuje. To je jaka izjava o autentifikaciji i slaba izjava o uzroku, jer ne kaže koja je strana pogrešna.

Raniji uspjeh se ne prenosi na ovu provjeru. Završen IKE_SA_INIT, ili NAT korisni teret za otkrivanje koji je vratio očekivane vrijednosti, dokazuje da parovi mogu razgovarati. To ništa ne dokazuje o tome dijele li tajnu.

Dvije konfiguracijske greške, jedna poruka

Prva je stvarno neslaganje tajni, i obično je nesreća pri pripremi: generirana vrijednost instalirana na jednoj konzoli i ponovo otkucana na drugoj, znak na kraju koji je preživio na jednoj strani ili navodnik koji je došao s lijepljenjem. Druga je neslaganje identiteta, gdje je tajna ispravna, ali identitet koji par predstavlja bira drugi unos, pa se ispravna tajna nikada ne pokušava. Obe daju isti red, i zato nagađanje košta popodne.

Uporedite par prije nego što dodirnete bilo koju tajnu. Uskladite tunel, krajnju tačku para, vremenski prozor i udaljenu konfiguraciju, jer dva rezervna tunela mogu imati različite tajne, a ekran pred vama možda nije onaj koji je zakazao.

NAT otkrivanje je druga faza

NAT otkrivanje pita kako se paketi prepisuju, a ne ko je par. Klijentski gateway iza NAT-a i dalje se ispravno autentificira kada je konfigurirani identitet onaj koji par očekuje, a NAT problem se pokazuje kao neslaganje predloga ili porta, a ne kao neuspjelo poređenje autentifikacije.

Ne prenosite staru tvrdnju o jednoj verziji dobavljača u aktuelno uvođenje. Ono što NAT prolazak zahtijeva u vašoj verziji pripada njenoj vlastitoj dokumentaciji, a fraza neslaganje MAC nije dokaz ni za ni protiv.

Odlučite po paru, a ne po ekranu

Pročitajte obje konfiguracije jednu pored druge sa sakrivenom tajnom, pa postavite tri pitanja. Da li je identitet na svakoj strani tačno ono što druga očekuje, znak po znak? Da li oba kraja koriste istu IKE verziju i isti metod autentifikacije? Da li tunel koji zakaže odgovara konfiguraciji koju čitate? Ne na bilo koje od njih određuje popravku bez diranja tajne.

Ako su sva tri čista, zamijenite tajnu kroz odobreni tok rada, umjesto da ga zaobilazite izmjenama.

Nakon što se par autentificira

Kada autentifikacija uspije, sljedeća površina otkaza je podređena sigurnosna asocijacija: predlozi i selektori saobraćaja. Rotiranje tajne koja je već prihvaćena ne može popraviti otkaz podređene asocijacije i produžava prekid. Pročitajte stanje podređene asocijacije, zatim selektore i zaštićene opsege s obje strane, i uskladite uputstva za rješavanje problema Cloud VPN-a s fazom koja je zaista zakazala.

Povežite svježe dnevnike s oba kraja za isti par i isti prozor. Jedna strana sama daje presudu bez doprinosa druge, i to je upravo nejasnoća koja je izvorno proizvela poruku.

Šta ne treba zaključiti

Ne čitajte poruku kao zahtjev da se promijene MAC adrese, i ne objavljujte zajedničku tajnu kada tražite pomoć; izvadak koji sadrži ključ zahtijeva da ključ bude uklonjen, a ne da dnevnik bude sačuvan. Ne pretpostavljajte ni grešku rutinga, jer parovi koji ne mogu da se dosegnu uopšte ne daju poređenje autentifikacije. I ne uopštavajte dokumentovano ograničenje jedne porodice proizvoda na svaku IPsec implementaciju.

Zabilježite par koji je zakazao, stanje tunela prije i poslije i koju ste od dvije uslova promijenili. Taj zapis pretvara sljedeću pojavu u provjeru od pet minuta.