Neujemanje MAC v IKE pomeni, da preverjanje skupnega ključa ni uspelo

Dnevnik Cloud VPN prikazuje poskus s skupnim ključem, ki mu sledi sporočilo, da se MAC ne ujema, in prvi vzgib je pogosto iskanje težave z naslovom. V tej veji je MAC koda za overjanje sporočila: vrednost, izračunana čez izmenjavo z dogovorjenim ključem. Sogovornik je primerjal svoj izračun s prejeto vrednostjo in razlikovali sta se. Nobena omrežna kartica ni vpletena in nobena nastavitev vmesnika te primerjave ne spremeni.

V praksi to povzročita dva pogoja: skrivnosti na obeh koncih nista enaka vrednost ali se identiteti, s katerima se skrivnost izbere, ne ujemata. Kateri od njiju je, ugotovite z branjem para, ne posameznega predora.

Kaj ta stopnja dokazuje

Preverjanje se izvede, potem ko sta obe strani izmenjali začetne parametre in se predstavili. Izbere kandidatne ključe za lokalno in oddaljeno identiteto ter poskuša overiti prejete podatke za overjanje; ko noben ne uspe, se izpiše diagnoza. To je močna trditev o overjanju in šibka trditev o vzroku, ker ne pove, katera stran je napačna.

Prejšnji uspeh se v to preverjanje ne prenese. Dokončan IKE_SA_INIT ali koristna obremenitev zaznavanja NAT, ki je vrnila pričakovane vrednosti, dokazuje, da se sogovornika lahko pogovarjata. Ne dokazuje ničesar o tem, ali si delita skrivnost.

Dve konfiguracijski napaki, eno sporočilo

Prva je resnično neujemanje skrivnosti in je običajno nesreča pri pripravi: ustvarjena vrednost, nameščena na eni konzoli in znova vtipkana na drugi, znak na koncu, ki je preživel na eni strani, ali narekovaj, ki je prišel z lepljenjem. Druga je neujemanje identitete, kjer je skrivnost pravilna, vendar identiteta, ki jo sogovornik predstavi, izbere drug vnos, zato se prava skrivnost nikoli ne preizkusi. Obe dajeta isto vrstico, zato ugibanje stane popoldne.

Primerjajte par, preden se dotaknete katere od skrivnosti. Ujemite predor, končno točko sogovornika, časovno okno in oddaljeno konfiguracijo, ker lahko imata dva redundantna predora različni skrivnosti, zaslon pred vami pa morda ni tisti, ki je odpovedal.

Zaznavanje NAT je druga stopnja

Zaznavanje NAT sprašuje, kako se paketi prepisujejo, ne kdo je sogovornik. Odjemalski prehod za NAT se še vedno pravilno overi, ko je nastavljena identiteta tista, ki jo sogovornik pričakuje, težava z NAT pa se pokaže kot neujemanje predloga ali vrat, ne kot neuspešna primerjava overjanja.

Ne prenašajte stare trditve o eni izdaji ponudnika v trenutno uvajanje. Kar prehod čez NAT zahteva v vaši izdaji, spada v njeno lastno dokumentacijo, in besedna zveza neujemanje MAC ni dokaz ne za ne proti.

Odločajte se po paru, ne po zaslonu

Preberite obe konfiguraciji drugo ob drugi s prikrito skrivnostjo in nato postavite tri vprašanja. Je identiteta na vsaki strani natanko tisto, kar pričakuje druga, znak za znakom? Uporabljata oba konca isto različico IKE in isto metodo overjanja? Ali predor, ki odpoveduje, ustreza konfiguraciji, ki jo berete? Ne na katero koli od teh odloči popravilo brez dotika skrivnosti.

Če so vse tri čiste, zamenjajte skrivnost po odobrenem postopku, namesto da bi ga obšli z urejanjem.

Po tem, ko se sogovornik overi

Ko overjanje uspe, je naslednja površina odpovedi podrejena varnostna povezava: predlogi in izbirniki prometa. Zamenjava že sprejete skrivnosti ne more odpraviti odpovedi podrejene povezave in podaljša izpad. Preberite stanje podrejene povezave, nato izbirnike in zaščitene obsege na obeh straneh, ter uskladite navodila za odpravljanje težav Cloud VPN s stopnjo, ki je dejansko odpovedala.

Povežite sveže dnevnike z obeh koncev za isti par in isto okno. Ena stran sama daje razsodbo brez prispevka druge, in to je prav negotovost, ki je sporočilo prvotno ustvarila.

Česa ne smete sklepati

Sporočila ne berite kot zahtevo za spremembo naslovov MAC in ne objavljajte skupne skrivnosti, ko prosite za pomoč; izsek, ki vsebuje ključ, potrebuje odstranitev ključa, ne ohranitev dnevnika. Ne predpostavljajte niti napake usmerjanja, ker sogovornika, ki se ne dosežeta, sploh ne ustvarita primerjave overjanja. In ne posplošujte dokumentirane omejitve ene družine izdelkov na vsako izvedbo IPsec.

Zapišite par, ki je odpovedal, stanje predora pred in po ter kateri od dveh pogojev ste spremenili. Tak zapis naslednji pojav spremeni v petminutno preverjanje.