Nezhoda MAC v IKE znamená, že kontrola spoločného kľúča zlyhala

Váš protokol Cloud VPN zobrazuje pokus so zdieľaným kľúčom, po ktorom nasleduje správa, že MAC nesedí, a prvý impulz je často hľadať problém s adresou. V tejto vetve je MAC kód na overenie správy: hodnota vypočítaná nad výmenou s dohodnutým kľúčom. Partner porovnal svoj vlastný výpočet s prijatou hodnotou a líšili sa. Nezúčastňuje sa žiadna sieťová karta a žiadne nastavenie rozhrania toto porovnanie nemení.

V praxi to spôsobujú dve podmienky: tajomstvá na oboch koncoch nie sú rovnaká hodnota alebo identity použité na výber tajomstva si nezodpovedajú. Rozhodnite, ktorá z nich to je, čítaním páru, nie jedného tunela.

Čo táto fáza dokazuje

Kontrola prebieha po tom, čo si obe strany vymenili počiatočné parametre a predstavili sa. Vyberie kandidátske kľúče pre lokálnu a vzdialenú identitu a pokúša sa overiť prijaté autentifikačné údaje; keď žiadny neprejde, vypíše sa diagnostika. To je silné tvrdenie o autentifikácii a slabé tvrdenie o príčine, pretože nehovorí, ktorá strana je nesprávna.

Skorší úspech sa na túto kontrolu neprenáša. Dokončený IKE_SA_INIT alebo užitočné zaťaženie zisťovania NAT, ktoré vrátilo očakávané hodnoty, dokazuje, že partneri sa dokážu rozprávať. Nedokazuje nič o tom, či zdieľajú tajomstvo.

Dve chyby konfigurácie, jedna správa

Prvou je skutočný nesúlad tajomstiev a zvyčajne ide o nehodu pri príprave: vygenerovaná hodnota nainštalovaná na jednej konzole a prepísaná na druhej, znak na konci, ktorý prežil na jednej strane, alebo úvodzovka, ktorá prišla s vložením. Druhou je nesúlad identity, keď je tajomstvo správne, ale identita, ktorú partner predkladá, vyberie iný záznam, takže správne tajomstvo sa nikdy neskúsi. Obe produkujú rovnaký riadok, a preto hádanie stojí popoludnie.

Porovnajte pár skôr, než sa dotknete ktoréhokoľvek tajomstva. Zosúlaďte tunel, koncový bod partnera, časové okno a vzdialenú konfiguráciu, pretože dva záložné tunely môžu mať rôzne tajomstvá a obrazovka pred vami nemusí byť tá, ktorá zlyhala.

Zisťovanie NAT je iná fáza

Zisťovanie NAT sa pýta, ako sa pakety prepisujú, nie kto je partner. Klientsky gateway za NAT sa stále autentifikuje správne, keď je nakonfigurovaná identita tou, ktorú partner očakáva, a problém NAT sa prejaví ako nesúlad návrhu alebo portu, nie ako neúspešné porovnanie autentifikácie.

Neprenášajte staré tvrdenie o jednej verzii dodávateľa do aktuálneho nasadenia. To, čo priechod cez NAT vyžaduje vo vašej verzii, patrí do jej vlastnej dokumentácie, a fráza nesúlad MAC nie je dôkazom za ani proti.

Rozhodujte podľa páru, nie podľa obrazovky

Prečítajte obe konfigurácie vedľa seba so skrytým tajomstvom a potom položte tri otázky. Je identita na každej strane presne to, čo druhá očakáva, znak po znaku? Používajú oba konce rovnakú verziu IKE a rovnakú metódu autentifikácie? Zodpovedá zlyhávajúci tunel konfigurácii, ktorú čítate? Nie na ktorúkoľvek z nich rozhodne o oprave bez dotyku tajomstva.

Ak sú všetky tri čisté, nahraďte tajomstvo schváleným postupom, namiesto obchádzania problému úpravami.

Po autentifikácii partnera

Keď autentifikácia uspeje, ďalšou plochou zlyhania je podradená bezpečnostná asociácia: návrhy a selektory prevádzky. Rotácia už prijatého tajomstva neopraví zlyhanie podradenej asociácie a predĺži výpadok. Prečítajte stav podradenej asociácie, potom selektory a chránené rozsahy na oboch stranách, a priraďte pokyny na riešenie problémov Cloud VPN k fáze, ktorá skutočne zlyhala.

Skoreľujte čerstvé protokoly z oboch koncov pre rovnaký pár a rovnaké okno. Jedna strana sama dáva verdikt bez vstupu druhej, a to je práve nejednoznačnosť, ktorá správu pôvodne vytvorila.

Čo si z toho nevyvodzovať

Nečítajte správu ako požiadavku meniť MAC adresy a nezverejňujte zdieľané tajomstvo, keď žiadate o pomoc; výňatok obsahujúci kľúč potrebuje odstrániť kľúč, nie zachovať protokol. Nepredpokladajte ani chybu smerovania, pretože partneri, ktorí sa navzájom nedosiahnu, nevytvárajú vôbec žiadne porovnanie autentifikácie. A nezovšeobecňujte zdokumentované obmedzenie jednej produktovej rodiny na každú implementáciu IPsec.

Zaznamenajte zlyhávajúci pár, stav tunela pred a po a ktorú z dvoch podmienok ste zmenili. Taký záznam premení ďalší výskyt na päťminútovú kontrolu.