Prichádzajúci IPsec partner nezodpovedá žiadnemu profilu? Skontrolujte štyri polia

Váš partner hlási, že tunel je hore, vaša strana nezobrazuje žiadnu bezpečnostnú asociáciu a konfiguračný súbor zjavne obsahuje zodpovedajúci názov spojenia. Všetky tri tvrdenia môžu byť pravdivé súčasne. Prichádzajúce vyjednávanie sa porovnáva s bežiacou konfiguráciou podľa adresy partnera, identity, ktorú predkladá, a prevádzky, ktorú navrhuje. Súbor na disku, ktorý nebol nikdy načítaný, identita, ktorá nezodpovedá očakávanej hodnote, alebo pár selektorov posunutý o jeden prefix — každé z toho vytvára ticho. Prejdite štyri skupiny polí v poradí, v akom postupuje responder.

Začnite paketom, nie súborom

Responder prijme požiadavku IKE, hľadá definíciu, ktorá môže prijať tohto partnera, a potom pokračuje overením a výberom prevádzky. Ak v prvom kroku nezodpovedá žiadna načítaná definícia, vyjednávanie sa skončí skôr, než sa k používateľovi dostane akákoľvek užitočná chyba.

Preto „konfigurácia vyzerá správne“ nie je dôkaz. Otázkou je, čo bežiaca služba načítala a ktorý záznam pre tento pokus vybrala. Výpis stavu na to odpovedá jediným príkazom, kým buffer editora odpovedá na inú otázku. Skontrolujte výpis, než súbor znova zmeníte.

Prvá skupina polí: definícia, ktorá je skutočne načítaná

Skontrolujte bežiaci stav nástrojom, ktorý vlastní démon: príkazom stavu vypisujúcim načítané spojenia, nie bufferom editora. Overte, že očakávaný záznam existuje, je povolený pre zamýšľané správanie pri štarte a bol načítaný po vašej poslednej úprave. Uložený súbor bez opätovného načítania je najčastejšou príčinou vety „opravil som to a nič sa nezmenilo“.

Overte aj to, ktorý súbor služba číta. Distribúcie sa líšia a spojenie zapísané v nesprávnom include sa ticho ignoruje namiesto odmietnutia. Ak výpis stavu váš záznam vôbec nezobrazuje, podozrievajte cestu include skôr než syntax.

Druhá skupina polí: koncové body nie sú identity

Adresa, z ktorej sa partner pripája, a identita, ktorou sa overuje, sú oddelené polia. Názov hostiteľa, rozlišujúce meno, identifikátor kľúča aj adresa môžu slúžiť ako identita IKE v závislosti od konfigurácie a nemusia vôbec vyzerať ako verejná adresa.

Párovanie koncových bodov môže zahŕňať aj pohľad NAT: adresa videná v sieti sa môže líšiť od adresy, o ktorej si partner myslí, že ju má. V modeli spojení libreswan sú left a right označenia dvoch účastníkov, nie pevné poradie lokálneho a vzdialeného, a preto kopírovanie funkčnej konfigurácie z iného pracoviska so zámenou adries nie je spoľahlivý preklad.

Zapíšte očakávanú identitu oboch strán a poverenie, ktoré ju overuje. Ak sa tieto dva riadky nezhodujú, žiadne ladenie adries neprinesie zhodu.

Tretia skupina polí: chránená prevádzka

Selektory opisujú vnútorné rozsahy zdroja a cieľa, ich adresnú rodinu a akékoľvek obmedzenie protokolu alebo portu. Návrh pre adresu jedného hostiteľa nie je tá istá požiadavka ako pre celú podsiete, a responder nakonfigurovaný pre podsiete ho môže odmietnuť alebo zúžiť.

Keď sa oba konce nezhodujú, porovnajte zamýšľaný tok z oboch pohľadov namiesto rozširovania každého selektora, aby sa niečo spojilo. Opýtajte sa každého správcu, ktorý tok si myslí, že chráni, a potom porovnajte dve odpovede. Nezhoda je zvyčajne prefix hostiteľa na jednej strane a podsiete na druhej. Tunel, ktorý sedí, pretože teraz chráni všetko, je iné bezpečnostné rozhodnutie a také, ktoré nikto neschválil.

Štvrtá skupina polí: čítate jednu implementáciu

Libreswan, starší Openswan a strongSwan majú rôzne nástroje správy, rôznu syntax konfigurácie a rôzne poradie párovania. Funkčný príklad z jedného nehovorí nič presné o priorite výberu profilu ani o formulácii chýb druhého, preto overujte podľa dokumentácie démona na tomto hostiteľovi.

Prepojte jeden pokus od začiatku do konca: zdrojovú adresu iniciátora, ponúknutú identitu a navrhnuté selektory — proti správe o výbere respondera a načítanému záznamu, ktorý pomenúva. Nulové počítadlá zapuzdrenia a rozbalenia hovoria len to, že pozorované asociácie tieto pakety neprenášali; nepomenúvajú koncový bod, ktorý návrh odmietol, a nedokazujú, že v tej chvíli existoval zodpovedajúci záznam.

Po koordinovanej oprave overte vybraný profil a asociáciu, potom vyskúšajte skutočne povolenú službu a cestu jej odpovede. Zhoda profilu umožňuje vyjednávanie a vyjednávanie nie je poslednou kontrolou prístupu.