Pet vlog naslova v profilu IPsec in katera od njih je napačna

Pet različnih nalog dobi naslov v tipični definiciji povezave in se jim ni treba ujemati med seboj. Skrbniki se zataknejo, ker je razumen instinkt, da vse polje kažejo na istega gostitelja, napačen za vsaj tri od njih. Izhod je, da najprej poimenujete simptom in nato pogledate eno ali dve polji, ki bi ga lahko povzročili.

Pet nalog, po vrstnem redu pomembnosti

Koncna točka prenosa je kraj, kamor se dostavi izmenjava IKE. Preverjena identiteta je ime, ki ga vsaka stran dokazuje, in se preverja glede na politiko, ne glede na usmerjevalno tabelo. Zaščitena podomrežja so selektorji, ki odločajo, kateri notranji promet spada v tunel. Nato je tu vir, ki se uporabi, ko prehod sam začne pogovor, in nazadnje naslednji skok spodnjega sloja za dosego partnerja.

Oznake udeležencev, kot sta left in right, so konvencije za dve strani povezave, ne sinonima za lokalno in oddaljeno. Preberite priročnik za implementacijo, ki je dejansko nameščena, preden domnevate, da ključ pomeni to, kar je z njim mislil drug izdelek.

Prva odločitev: nič se ne vzpostavi

Ko se v dnevnikih sploh ne pojavi izmenjava, je končna točka prvi osumljenec: napačen naslov, filtrirana pot ali vmesnik, na katerem demon ne posluša. Na polja identitete pojdite šele, ko je rokovanje vidno, ker se identiteta presoja znotraj izmenjave, ne pred njo. Filtrirana pot in napačen naslov sta s strani odjemalca videti enako, zato pred kakršnim koli urejanjem preverite poslušajočo stran. Potrdite, da je demon vezan na vmesnik, ki ga pričakujete, ker je storitev, ki posluša na enem naslovu, videti natanko kot blokirana pot.

Javni naslov, opažen skozi prevajanje, ni isto kot identiteta, ki jo dokazuje partner. Spreminjanje naslova, da bi se ujemal s tem, kar zajem paketov pokaže na oddaljenem koncu, je pogost in napačen popravek.

Druga odločitev: tunel je gor in promet umre

Selektorji odločajo, kaj vstopi v tunel, in neujemanje tukaj ustvari povezavo, ki se uspešno pogaja, medtem ko aplikacija še vedno odpove. Oddaljena stran mora vaš zaščiteni obseg navesti kot svoj oddaljeni obseg, in prav tam se prikradejo obrnjene vrednosti.

Pred urejanjem preberite obe konfiguraciji drugo ob drugi. Lokalni obseg na enem gostitelju je oddaljeni obseg na drugem, in en sam zamenjan par pojasni tunel, ki ničesar ne prenaša. Zožite par, preden se dotaknete ključev: ena podomrežje znotraj tunela in ena zunaj vam povesta, ali je kriv selektor ali usmerjanje.

Tretja odločitev: odpove le lastni promet prehoda

Promet, posredovan za odjemalce, lahko deluje brezhibno, medtem ko zahteva, ki jo začne prehod sam, odpove, ker ta tok nima odjemalskega vira, ki bi ga podedoval. Nastavitev prednostnega vira obstaja prav za ta primer in ni prevajanje vira: izbere naslov vira, namesto da bi ga prepisala.

Aplikacija, ki izrecno veže drug naslov, lahko preglasi prednost, zato pred sklepom, da je nastavitev prezrta, potrdite dejanski vir paketa. Zajemajte na lastnem vmesniku prehoda, namesto da bi zaupali namenu konfiguracije.

Naslednji skok je lokalno navodilo

Naslednji skok spodnjega sloja pove temu gostitelju, kako doseči partnerja, in oddaljena stran ne potrebuje iste vrednosti. Obravnavanje kot skupno nastavitev ali trdo kodiranje privzetega prehoda se zlomi v trenutku, ko se pot spremeni ali pojavi druga pot.

Nekatere implementacije tukaj ponujajo posebne vrednosti. Kar priročnik navaja za nameščeno različico, je edini varen odgovor, in lokalna usmerjevalna tabela je dokaz, da je delovalo. Ko je partner dosegljiv po imenu, ne pa po naslovu, je to neujemanje ugotovitev, ne podrobnost, ki bi se ji izognili.

Profil berite z obeh koncev

Zamenjava vlog na papirju je najhitrejši pregled, ki obstaja: zamenjajte zaščitene obsege, obdržite lastni naslednji skok vsake strani in lastno identiteto vsake strani. Vse, kar zamenjave ne preživi, je verjetno dodeljeno napačni nalogi.

Nato preizkusite en tok na vlogo: dosegljivost med partnerji, notranji odjemalski tok in zahteva, ki izvira s prehoda. Trije testi povedo, katera naloga je napačno dodeljena, ne da bi znova odprli konfiguracijo. Rezultat dodajte v zahtevek ob polju, ki ste ga spremenili, ker bo naslednji inženir naletel na isti profil.