Ko IKEv2 vrne TS_UNACCEPTABLE, primerjajte prava podomrežja

Berite TS_UNACCEPTABLE kot nesoglasje glede pokritosti, ne kot poškodovan profil. Prehod pravi, da se strani nista mogli dogovoriti, katere naslove lahko prenaša ta tunel. IKE SA je lahko v tistem trenutku že vzpostavljena, zato je lahko odjemalec videti povezan brez podrejene SA za seboj. Ko to tako uokvirite, delo postane mehansko. Zapišite predvidene predpone obeh strani, primerjajte jih v eni smeri in zožujte, dokler se ne sekata.

Najprej zapišite predvidene pare

Preden se dotaknete konfiguracije, naštejte štiri vrednosti: izvorni obseg pobudnika, njegov ciljni obseg in isti par, viden s strani odgovarjalca. Zapišite tudi naslovno družino vsakega od njih. Obseg IPv4 in obseg IPv6 sta različna tipa selektorjev in nobenega ni mogoče zložiti v koristni tovor drugega.

Dodajte kakršno koli omejitev protokola ali vrat, ki jo nosi politika. Pravilo, ki dovoljuje le TCP 445 do strežnika datotek, opisuje ožjo množico od podomrežja, v katerem se nahaja. Če to izpustite iz svojih zapiskov, bo rezultat pogajanj videti nedosleden zaradi razlogov, ki jih ne vidite.

Obrnite oznake pred primerjavo

Lokalno in oddaljeno sta relativni oznaki. Lokalna predpona odjemalca je oddaljeni obseg prehoda, lokalni obseg prehoda pa je oddaljeni obseg odjemalca. Zato se posnetki zaslona z obeh koncev nikoli ne ujemajo, in njihovo dobesedno primerjanje je običajen način, da izgubite popoldne.

Odgovarjalec lahko ponudbo zoži na sprejemljivo podmnožico, namesto da bi jo zavrnil. Ta izid je slabši od čistega neuspeha, ker deluje na pol. Zahtevajte 10.0.0.0/16, ko politika dovoljuje 10.0.5.0/24, in lahko končate s podrejeno SA, ki pokriva le to /24. Odgovori en gostitelj, vse ostalo pade ven, in nič v odjemalcu tega ne pove. Preden sklenete, da so pogajanja uspela, berite sprejete selektorje, ne zahtevanih.

Profili road warrior, ki zahtevajo privzeto pot, tu pristajajo nenehno. Prehod, zgrajen za deljen dostop, zoži ponudbo polnega obsega na svoja podomrežja, odjemalec pa mora sprejeti zožen izid ali glasno propasti.

Preberite zavrnitev iz enega poskusa

Zberite oba dnevnika iz istega poskusa povezave. Shranjen profil kaže, kaj ste konfigurirali, ne kaj je bilo predlagano, na strongSwanu pa swanctl --log izpiše prejeto obvestilo skupaj s selektorji, ki jih je nosilo.

Nato preverite, kaj je bilo dejansko nameščeno. swanctl --list-sas prikaže selektorje podrejene SA, ip xfrm policy pa prikaže iste obsege kot vnose jedrne politike. Podrejena SA na tem seznamu s selektorji, ki jih niste nameravali, je dogodek zoženja; brez podrejene SA in s TS_UNACCEPTABLE v dnevniku je zavrnitev.

Medtem ko ste tam, ločite bližnje sosede. INVALID_SELECTORS se pritožuje zaradi selektorja znotraj vzpostavljene podrejene SA, medtem ko INTERNAL_ADDRESS_FAILURE pomeni, da odgovarjalec ni mogel dodeliti navideznega naslova, kar je problem bazena in ne pokritosti.

Preverite, kaj tiho zmanjša množico

Tri stvari zmanjšajo množico selektorjev, ne da bi karkoli rekle. Politika odgovarjalca je prva, prek seznamov podomrežij, skupinskih pravil ali avtorizacije na uporabnika, ki zmanjšajo ponudbo na podmnožico. Naslovna družina je druga: odjemalec z dvojnim skladom pogosto predlaga IPv6 ob IPv4 in prejme zavrnitev za obsege, ki jih prehod nikoli ni konfiguriral.

Omejitve protokola in vrat so tretje. Kjer politika dovoljuje le TCP 445, se lahko podrejena SA dvigne, medtem ko ICMP in UDP ostaneta zunaj nje, uporabnik pa poroča o pokvarjenem tunelu, čeprav je bil dovoljen samo en protokol.

Zato samo širjenje naslovov ne more popraviti politike, omejene na vrata, in prav to je primer, ki bo najverjetneje preživel tri kroge odpravljanja težav nespremenjen.

Dokažite pokritost z ustreznim prometom

Ko je podrejena SA nameščena, pošljite eno zahtevo, ki zagotovo pade v sprejete obsege. Opazujte števce namesto ikone stanja: ip -s xfrm state in števci za ip xfrm policy naraščajo, ko se paket ujame in zaščiti. Število bajtov, ki po resničnem prometu ostane nič, pomeni, da jedro te politike nikoli ni izbralo.

Ta ničla je problem usmerjanja ali vrstnega reda politik, ne kriptografije. Tudi z vidika uporabnika je videti enako kot zavrnitev selektorja, zato je števce vredno zbrati pred ponovnim odpiranjem profila. Števci, ki naraščajo le v eno smer, kažejo na povratno pot.

Končajte tako, da sprejeti par zapišete v zahtevek, poleg obsega, ki je bil prvotno zahtevan. Izbira naj bo tako ozka, kot zahteva potreba, ker brisanje napake z zamenjavo zasebnega obsega z vsemi naslovi daje precej več dostopa, kot je bilo odobreno za račun.