Kur IKEv2 kthen TS_UNACCEPTABLE, krahasoni nënrrjetet reale

Lexojeni TS_UNACCEPTABLE si mospajtim mbi mbulimin, jo si profil i korruptuar. Porta po thotë se dy palët nuk arritën të bien dakord se cilat adresa mund të mbajë ky tunel. IKE SA mund të jetë tashmë e ngritur në atë moment, prandaj një klient mund të duket i lidhur pa asnjë SA fëmijë pas tij. Pasi ta kornizoni kështu, puna bëhet mekanike. Shkruani prefikset e synuara të të dyja palëve, krahasoni ato në një drejtim dhe ngushtojini derisa të kryqëzohen.

Fillimisht shkruani çiftet e synuara

Përpara se të prekni konfigurimin, renditni katër vlera: intervalin burim të iniciatorit, intervalin e tij të destinacionit dhe të njëjtin çift të parë nga ana e përgjigjësit. Shënoni gjithashtu familjen e adresave të secilit. Një interval IPv4 dhe një interval IPv6 janë lloje të ndryshme përzgjedhësi, dhe asnjëri nuk mund të paloset në ngarkesën e tjetrit.

Shtoni çdo kufizim protokolli ose porte që mbart politika. Një rregull që lejon vetëm TCP 445 drejt një serveri skedarësh përshkruan një bashkësi më të ngushtë sesa nënrrjeti në të cilin ndodhet. Nëse e lini jashtë shënimeve tuaja, rezultati i negociatave do të duket jokonsistent për arsye që nuk i shihni.

Ktheni etiketat përpara se t'i krahasoni

Lokal dhe i largët janë etiketa relative. Prefiksi lokal i klientit është intervali i largët i portës, dhe intervali lokal i portës është ai i largët i klientit. Prandaj pamjet e ekranit nga të dy skajet nuk përputhen kurrë, dhe krahasimi i tyre fjalë për fjalë është mënyra e zakonshme për të humbur një pasdite.

Përgjigjësi mund ta ngushtojë një ofertë në një nënbashkësi të pranueshme në vend që ta refuzojë. Ai rezultat është më i keq se një dështim i pastër, sepse funksionon gjysmë. Kërkoni 10.0.0.0/16 kur politika lejon 10.0.5.0/24, dhe mund të përfundoni me një SA fëmijë që mbulon vetëm atë /24. Një host përgjigjet, gjithçka tjetër mbetet jashtë, dhe asgjë në klient nuk e thotë këtë. Lexoni përzgjedhësit e pranuar dhe jo ata të kërkuar përpara se të arrini në përfundimin se negociatat patën sukses.

Profilet road warrior që kërkojnë një rrugë të paracaktuar ulen këtu vazhdimisht. Një portë e ndërtuar për akses të ndarë e ngushton një ofertë me interval të plotë në nënrrjetet e veta, dhe klienti duhet ta pranojë rezultatin e ngushtuar ose të dështojë me zë të lartë.

Lexojeni refuzimin nga një provë e vetme

Mblidhni të dy regjistrat nga e njëjta provë lidhjeje. Një profil i ruajtur tregon çfarë keni konfiguruar, jo çfarë u propozua, dhe në strongSwan swanctl --log shtyp njoftimin e marrë bashkë me përzgjedhësit që mbante.

Më pas inspektoni çfarë u instalua në të vërtetë. swanctl --list-sas tregon përzgjedhësit e SA fëmijë, dhe ip xfrm policy tregon të njëjtat intervale si zëra të politikës së kernelit. Një SA fëmijë në atë listë me përzgjedhës që nuk i kishit synuar është një ngjarje ngushtimi; mungesa e SA fëmijë plus TS_UNACCEPTABLE në regjistër është një refuzim.

Ndërsa jeni atje, ndani fqinjët e afërt. INVALID_SELECTORS ankohet për një përzgjedhës brenda një SA fëmijë të vendosur, ndërsa INTERNAL_ADDRESS_FAILURE do të thotë që përgjigjësi nuk mundi të ndajë një adresë virtuale, që është problem grupi dhe jo mbulimi.

Kontrolloni çfarë e zvogëlon bashkësinë në heshtje

Tri gjëra e zvogëlojnë një bashkësi përzgjedhësish pa thënë asgjë. Politika e përgjigjësit është e para, përmes listave të nënrrjeteve, rregullave të grupit ose autorizimit për çdo përdorues që e zvogëlojnë ofertën në një nënbashkësi. Familja e adresave është e dyta: një klient me dy stiva shpesh propozon IPv6 pranë IPv4 dhe merr refuzim për intervale që porta nuk i ka konfiguruar kurrë.

Kufizimet e protokollit dhe portës janë të tretat. Aty ku politika lejon vetëm TCP 445, një SA fëmijë mund të ngrihet ndërsa ICMP dhe UDP mbeten jashtë saj, dhe përdoruesi raporton një tunel të prishur kur vetëm një protokoll ishte gjithçka që ishte lejuar ndonjëherë.

Prandaj zgjerimi i vetëm i adresave nuk mund të rregullojë një politikë të kufizuar nga porta, dhe pikërisht ky është rasti që ka më shumë gjasa të mbijetojë i pandryshuar pas tre raundeve të zgjidhjes së problemeve.

Provoni mbulimin me trafik që përshtatet

Pasi SA fëmijë të instalohet, dërgoni një kërkesë që bie me siguri brenda intervaleve të pranuara. Shikoni numëruesit në vend të ikonës së statusit: ip -s xfrm state dhe numëruesit pas ip xfrm policy rriten kur një paketë përputhet dhe mbrohet. Një numër bajtësh që mbetet zero pas trafikut real do të thotë që kernel-i nuk e zgjodhi kurrë atë politikë.

Ai zero është problem rrugëtimi ose renditjeje politikash, jo problem kriptografie. Gjithashtu duket identik me një refuzim përzgjedhësi nga këndvështrimi i përdoruesit, prandaj numëruesit ia vlen të mblidhen përpara se ta rihapni profilin. Numëruesit që rriten vetëm në një drejtim tregojnë në vend të kësaj rrugën e kthimit.

Përfundoni duke shkruar çiftin e pranuar në biletë, pranë intervalit që u kërkua fillimisht. Mbajeni përzgjedhjen aq të ngushtë sa kërkesa, sepse fshirja e gabimit duke zëvendësuar një interval privat me të gjitha adresat jep shumë më tepër akses sesa u miratua për llogarinë.