Marka IKEv2 soo celiyo TS_UNACCEPTABLE, isbarbardhig subnet-yada dhabta ah

Akhri TS_UNACCEPTABLE sidii isqabqabsi ku saabsan daboolka, ma aha borofayl xumaaday. Albaabku wuxuu leeyahay labada dhinac ma awoodin inay ku heshiiyaan ciwaannada ay tunnelladan qaadi karto. IKE SA waxaa laga yaabaa inay hore u taagnayd waqtigaas, taasina waa sababta macmiilku u ekaan karo mid xiran isagoo aan lahayn SA ilmo gadaashiisa. Markaad sidaas u qaabayso, shaqadu waxay noqotaa mid farsamo ah. Qor horudhacyada labada dhinac ee la qorsheeyay, isbarbardhig iyaga hal jiho, oo cidhiidhi ilaa ay isgalaan.

Marka hore qor lammaanaha la qorsheeyay

Ka hor inta aadan taaban habaynta, liis garay afar qiime: xadka isha bilowga, xadka uu u socdo, iyo isla lammaanaha oo laga arko dhinaca jawaab bixiyaha. Sidoo kale qor qoyska ciwaanka mid kasta. Xadka IPv4 iyo xadka IPv6 waa noocyo doorasho oo kala duwan, mana jiro mid lagu laalaabi karo culayska kan kale.

Ku dar wax kasta oo xaddidan borotokool ama deked oo siyaasadu qaaddo. Xeerka oggolaanaya kaliya TCP 445 oo u socda server fayl, wuxuu qeexayaa hannaan cidhiidhi ah marka la barbardhigo subnet-ka uu ku dhex jiro. Haddii aad tan ka tagto qoraalladaada, natiijada gorgortanku waxay u ekaan doontaa mid aan iswaafaqsanayn sababo aadan arkin.

Roor calaamadaha ka hor isbarbardhigga

Gudaha iyo fog waa calaamado isku xidhan. Horudhaca gudaha macmiilku waa xadka fog ee albaabka, xadka gudahana ee albaabku waa kan fog ee macmiilka. Sidaas darteed shaashadaha labada gees waligood iskuma eka, isbarbardhiggooda suugaanna waa habka caadiga ah ee luminta galab.

Jawaab bixiyuhu wuxuu cidhiidhin karaa soo jeedinta ilaa qayb-hoosaad la aqbali karo halkii uu diidi lahaa. Natiijadaas way ka xun tahay guuldarro nadiif ah, sababtoo ah waxay shaqaysaa badh. Weydii 10.0.0.0/16 marka siyaasadu oggolaato 10.0.5.0/24, waxaadna ku dhammaan kartaa SA ilmo daboolaya kaliya /24 taas. Hal martigeliye ayaa jawaabta, wax kasta oo kale dibadda ayay ku dhacaan, waxna kuma jiro macmiilka oo sidaas sheegaya. Akhri doorashooyinka la aqbalay ee ma aha kuwa la weydiiyay ka hor intaadan go'aansan in gorgortanku guulaystay.

Borofaylasha road warrior ee weydiista waddo caadi ah waxay halkan ku soo degaan si joogto ah. Albaab loo dhisay gelitaan qaybsan wuxuu soo jeedinta xad buuxa ku cidhiidhiyaa subnet-yadiisa, macmiilkuna waa inuu aqbalaa natiijada cidhiidhigan ama si cod dheer ugu guuldarraystaa.

Ka akhri diidmada hal isku day

Ururi labada log ee isku dayga isku xirka. Borofayl la kaydiyay wuxuu muujinayaa waxaad habaysay, ma aha waxa la soo jeediyay, strongSwan-na swanctl --log wuxuu daabacaa ogeysiiska la helay oo ay la socdaan doorashooyinkii uu qaaday.

Kadib baadh waxa dhab ahaan lagu rakibay. swanctl --list-sas wuxuu muujinayaa doorashooyinka SA ilmaha, ip xfrm policy wuxuuna muujinayaa isla xadadkaas sida gelitaannada siyaasadda kernel-ka. SA ilmo ku jira liiskaas oo leh doorashooyin aadan u qasdin waa dhacdo cidhiidhin; maqnaanshaha SA ilmo oo lagu daray TS_UNACCEPTABLE logga waa diidmo.

Intaad halkaas joogto, kala sooc deriska dhow. INVALID_SELECTORS waxay ka cabanaysaa doorasho ku jirta SA ilmo la aasaasay, halka INTERNAL_ADDRESS_FAILURE ay la macno tahay jawaab bixiyuhu ma awoodin inuu qoondeeyo cinwaan macmal ah, taas oo ah dhibaato barkad ma aha dabool.

Hubi waxa aamusnaan u yareeya hannaanka

Saddex waxyaabood ayaa yareeya hannaanka doorashooyinka iyagoon wax sheegin. Siyaasadda jawaab bixiyaha ayaa ugu horreysa, iyada oo loo marayo liisas subnet, xeerar koox ama oggolaansho qof kasta oo soo jeedinta hoos u dhigaya qayb-hoosaad. Qoyska cinwaanku waa kan labaad: macmiil laba-stack ah wuxuu inta badan soo jeediyaa IPv6 oo ay la socoto IPv4 wuxuuna helaa diidmo xadadka aan albaabku waligiis habayn.

Xaddidaadda borotokoolka iyo dekedda waa tan saddexaad. Meesha siyaasadu oggolaato kaliya TCP 445, SA ilmo ayaa soo bixi karta iyadoo ICMP iyo UDP dibadda ku sii jiraan, macmiilkuna wuxuu soo sheegaa tunnel jabtay marka hal borotokool oo keliya la oggolaaday.

Sidaas darteed ballaarinta cinwaannada oo keliya ma hagaajin karto siyaasad deked ku xaddidan, taasina waa kiiska ugu badan ee u suurtagal ah inuu saddex wareeg oo cilad-baadhis ah ka dib isbeddel la'aan uga baxo.

Ku caddee daboolka taraafik ku habboon

Ka dib marka SA ilmaha la rakibo, dir hal codsi oo hubaal ku dhaca gudaha xadadka la aqbalay. Fiiri tirakoobyada halkii aad fiirsan lahayd sumadda xaaladda: ip -s xfrm state iyo tirakoobyada ka dambeeya ip xfrm policy way kordhaan marka baakad la iswaafajiyo oo la ilaaliyo. Tirada bayt ee eber ku sii hartaa taraafik dhab ah ka dib waxay la macno tahay kernel-ku waligiis ma dooran siyaasaddaas.

Eberkaas waa dhibaato marinnada ama nidaamka siyaasadaha, ma aha mid sir-garaynta. Sidoo kale waxay ka muuqataa sida diidmada doorasho marka laga eego meesha isticmaalaha, sidaas darteed tirakoobyada waa mudan in la ururiyo ka hor intaadan borofaylka dib u furin. Tirakoobyada kor u kaca hal jiho oo keliya waxay tilmaamaan dariiqa soo noqodka.

Ku dhammee qorista lammaanaha la aqbalay gudaha tikidhka, agtiisa xadka asal ahaan la weydiiyay. Hayso doorashada sidii loo baahnaa oo cidhiidhi ah, sababtoo ah tirtiridda khaladka iyadoo xad gaar ah lagu beddelo dhammaan cinwaannada waxay siisaa marin badan intii loo ansixiyay akoonka.