Päť rolí adresy v profile IPsec a ktorá z nich je nesprávna
Koncový bod, identita, chránená podsiete, zdroj brány a ďalší skok odpovedajú každý na inú otázku. Najprv priraďte symptóm k poľu.
Päť rôznych úloh dostáva adresu v typickej definícii spojenia a nemusia sa navzájom zhodovať. Správcovia sa zaseknú, pretože rozumný inštinkt, nasmerovať všetky polia na toho istého hostiteľa, je nesprávny aspoň pri troch z nich. Cesta von je najprv pomenovať symptóm a potom sa pozrieť na jedno alebo dve polia, ktoré ho mohli spôsobiť.
Päť úloh v poradí, v akom sú dôležité
Koncový bod transportu je miesto, kam sa doručuje výmena IKE. Overená identita je meno, ktoré preukazuje každá strana, a posudzuje sa podľa politiky, nie podľa smerovacej tabuľky. Chránené podsiete sú selektory, ktoré rozhodujú, ktorá vnútorná prevádzka patrí do tunela. Potom je tu zdroj používaný vtedy, keď brána sama začne konverzáciu, a nakoniec ďalší skok podkladovej vrstvy na dosiahnutie partnera.
Štítky účastníkov ako left a right sú konvencie pre dve strany spojenia, nie synonymá pre lokálne a vzdialené. Prečítajte si príručku k implementácii, ktorá je skutočne nainštalovaná, skôr než budete predpokladať, že kľúč znamená to, čo pod ním myslel iný produkt.
| Job | Typical key | What fails when it is wrong |
|---|---|---|
| Transport endpoint | left, right | No IKE exchange at all |
| Authenticated identity | leftid, rightid | Exchange starts, peer rejects it |
| Protected subnets | leftsubnet, rightsubnet | Tunnel up, traffic not selected |
| Gateway source | leftsourceip, rightsourceip | Only gateway-originated flows fail |
| Underlay next hop | leftnexthop, rightnexthop | Peer unreachable from this host only |
Rozhodnutie prvé: nič sa neustanoví
Keď sa v protokoloch vôbec neobjaví výmena, prvým podozrivým je koncový bod: nesprávna adresa, filtrovaná cesta alebo rozhranie, na ktorom démon nepočúva. K poliam identity prejdite až po tom, ako je vidieť podanie ruky, pretože identita sa posudzuje vnútri výmeny, nie pred ňou. Filtrovaná cesta a nesprávna adresa vyzerajú z pohľadu klienta rovnako, preto pred akoukoľvek úpravou skontrolujte stranu, ktorá počúva. Potvrďte, že démon je naviazaný na rozhranie, ktoré očakávate, pretože služba počúvajúca na jednej adrese vyzerá presne ako zablokovaná cesta.
Verejná adresa pozorovaná cez preklad nie je to isté ako identita, ktorú preukazuje partner. Zmena adresy tak, aby zodpovedala tomu, čo zachytávanie paketov ukazuje na vzdialenom konci, je častá a nesprávna oprava.
Rozhodnutie druhé: tunel je hore a prevádzka umiera
Selektory rozhodujú, čo vstúpi do tunela, a nezhoda tu vytvorí spojenie, ktoré úspešne vyjedná, zatiaľ čo aplikácia stále zlyháva. Vzdialená strana musí váš chránený rozsah uviesť ako svoj vzdialený rozsah, a práve tam sa vkrádajú obrátené hodnoty.
Prečítajte obe konfigurácie vedľa seba, skôr než začnete upravovať. Miestny rozsah na jednom hostiteľovi je vzdialený rozsah na druhom a jediná prehodená dvojica vysvetlí tunel, ktorý nič neprenáša. Zúžte dvojicu, skôr než sa dotknete kľúčov: jedna podsiete vnútri tunela a jedna vonku vám povedia, či je na vine selektor alebo smerovanie.
Rozhodnutie tretie: zlyháva len vlastná prevádzka brány
Prevádzka preposielaná pre klientov môže fungovať bezchybne, zatiaľ čo požiadavka, ktorú brána sama začne, zlyháva, pretože tento tok nemá klientsky zdroj, ktorý by zdedil. Nastavenie preferovaného zdroja existuje práve pre tento prípad a nie je prekladom zdroja: vyberá zdrojovú adresu namiesto toho, aby ju prepisovalo.
Aplikácia, ktorá výslovne naviaže inú adresu, môže preferenciu prepísať, preto pred záverom, že sa nastavenie ignoruje, potvrďte skutočný zdroj paketu. Zachytávajte na vlastnom rozhraní brány namiesto toho, aby ste verili zámeru konfigurácie.
Ďalší skok je miestna inštrukcia
Ďalší skok podkladovej vrstvy hovorí tomuto hostiteľovi, ako dosiahnuť partnera, a vzdialená strana nepotrebuje rovnakú hodnotu. Chápať ho ako zdieľané nastavenie alebo natvrdo zadať predvolenú bránu sa rozbije v okamihu, keď sa zmení trasa alebo sa objaví druhá cesta.
Niektoré implementácie tu ponúkajú špeciálne hodnoty. To, čo príručka uvádza pre nainštalovanú verziu, je jediná bezpečná odpoveď a miestna smerovacia tabuľka je dôkazom, že to fungovalo. Keď je partner dostupný podľa mena, ale nie podľa adresy, táto nezhoda je nálezom, nie detailom na obchádzanie.
Čítajte profil z oboch koncov
Prehodenie rolí na papieri je najrýchlejšia kontrola, aká existuje: vymeňte chránené rozsahy, ponechajte každej strane jej vlastný ďalší skok a jej vlastnú identitu. Všetko, čo výmenu neprežije, je pravdepodobne priradené nesprávnej úlohe.
Potom otestujte jeden tok na rolu: dostupnosť medzi partnermi, vnútorný klientsky tok a požiadavku vznikajúcu na bráne. Tri testy vám povedia, ktorá úloha je nesprávne priradená, bez opätovného otvorenia konfigurácie. Pridajte výsledok do tiketu vedľa poľa, ktoré ste zmenili, pretože ďalší inžinier stretne ten istý profil.