Dohodni IPsec partner se ne ujema z nobenim profilom? Preverite štiri polja

Vaš partner poroča, da je tunel vzpostavljen, vaša stran ne kaže nobene varnostne povezave, konfiguracijska datoteka pa očitno vsebuje ustrezno ime povezave. Vse tri trditve so lahko resnične hkrati. Dohodno pogajanje se primerja z delujočo konfiguracijo glede na naslov partnerja, identiteto, ki jo predstavi, in promet, ki ga predlaga. Datoteka na disku, ki ni bila nikoli naložena, identiteta, ki se ne ujema s pričakovano vrednostjo, ali par izbirnikov, zamaknjen za eno predpono — vsak od tega povzroči tišino. Pojdite skozi štiri skupine polj v vrstnem redu, ki ga upošteva odzivnik.

Začnite s paketom, ne z datoteko

Odzivnik prejme zahtevo IKE, poišče definicijo, ki lahko sprejme tega partnerja, nato nadaljuje z overjanjem in izbiro prometa. Če v prvem koraku ne ustreza nobena naložena definicija, se pogajanje konča, preden do uporabnika pride kakršna koli uporabna napaka.

Zato „konfiguracija je videti pravilna“ ni dokaz. Vprašanje je, kaj je naložila delujoča storitev in kateri vnos je izbrala za ta poskus. Seznam stanja odgovori na to z enim ukazom, medtem ko medpomnilnik urejevalnika odgovarja na drugo vprašanje. Preverite seznam, preden znova spremenite datoteko.

Prva skupina polj: definicija, ki je res naložena

Preverite delujoče stanje z orodjem, ki ima v lasti demona: z ukazom stanja, ki izpiše naložene povezave, ne z medpomnilnikom urejevalnika. Potrdite, da pričakovani vnos obstaja, je omogočen za želeno vedenje ob zagonu in je bil naložen po vaši zadnji spremembi. Shranjena datoteka, ki ni bila znova naložena, je najpogostejši vzrok stavka „popravil sem in nič se ni spremenilo“.

Potrdite tudi, katero datoteko storitev bere. Porazdelitve se razlikujejo in povezava, zapisana v napačno vključitev, se tiho prezre, namesto da bi bila zavrnjena. Če seznam stanja vašega vnosa sploh ne prikaže, sumite na pot vključitve prej kot na sintakso.

Druga skupina polj: končne točke niso identitete

Naslov, s katerega se partner poveže, in identiteta, s katero se overi, sta ločeni polji. Ime gostitelja, razlikovalno ime, identifikator ključa in naslov lahko vsi služijo kot identiteta IKE, odvisno od konfiguracije, in sploh ni treba, da bi bili videti kot javni naslov.

Ujemanje končnih točk lahko vključuje tudi pogled NAT: naslov, viden v omrežju, se lahko razlikuje od naslova, za katerega partner misli, da ga ima. V modelu povezav libreswan sta left in right oznaki dveh udeležencev, ne fiksni vrstni red lokalnega in oddaljenega, zato kopiranje delujoče konfiguracije z druge lokacije z zamenjavo naslovov ni zanesljiv prevod.

Zapišite pričakovano identiteto obeh strani in potrdilo, ki jo overi. Če se ti dve vrstici ne ujemata, nobeno prilagajanje naslovov ne bo dalo ujemanja.

Tretja skupina polj: zaščiteni promet

Izbirniki opisujejo notranje razpone vira in cilja, njihovo naslovno družino ter vsako omejitev protokola ali vrat. Predlog za naslov enega gostitelja ni ista zahteva kot za celotno podomrežje, in odzivnik, nastavljen za podomrežje, ga lahko zavrne ali zoži.

Ko se oba konca ne ujemata, primerjajte predvideni tok z obeh vidikov, namesto da razširite vsak izbirnik, da bi se kaj povezalo. Vprašajte vsakega skrbnika, kateri tok meni, da ščiti, in nato primerjajte oba odgovora. Neskladje je običajno predpona gostitelja na eni strani in podomrežje na drugi. Tunel, ki se ujema, ker zdaj ščiti vse, je druga varnostna odločitev in taka, ki je nihče ni odobril.

Četrta skupina polj: berete eno izvedbo

Libreswan, starejši Openswan in strongSwan imajo različna orodja za upravljanje, različno sintakso konfiguracije in različen vrstni red ujemanja. Delujoč primer iz enega ne pove ničesar natančnega o prednosti izbire profila ali o besedilu napak drugega, zato preverite z dokumentacijo demona na tem gostitelju.

Povežite en poskus od začetka do konca: izvorni naslov pobudnika, ponujeno identiteto in predlagane izbirnike — proti sporočilu o izbiri odzivnika in naloženemu vnosu, ki ga imenuje. Ničelni števci inkapsulacije in dekapsulacije povedo le, da opažene povezave niso prenesle teh paketov; ne imenujejo končne točke, ki je predlog zavrnila, in ne dokazujejo, da je v tistem trenutku obstajal ustrezen vnos.

Po usklajenem popravku potrdite izbrani profil in povezavo, nato preizkusite dejansko dovoljeno storitev in njeno pot odgovora. Ujemanje profila omogoča pogajanje, pogajanje pa ni zadnje preverjanje dostopa.