Peer-i IPsec në hyrje nuk përputhet me asnjë profil? Kontrolloni katër fusha

Peer-i juaj raporton se tuneli është ngritur, ana juaj nuk tregon asnjë asociacion sigurie, dhe skedari i konfigurimit përmban qartë një emër lidhjeje që përputhet. Të tre pohojtë mund të jenë të vërteta njëkohësisht. Negocimi hyrës krahasohet me konfigurimin në punë, duke përdorur adresën e peer-it, identitetin që paraqet dhe trafikun që propozon. Një skedar në disk që nuk u ngarkua kurrë, një identitet që nuk përputhet me vlerën e pritur, ose një palë përzgjedhësish e zhvendosur me një prefiks — secili prej tyre prodhon heshtje. Kaloni katër grupet e fushave në rendin që ndjek përgjigjësi.

Filloni nga paketa, jo nga skedari

Përgjigjësi merr një kërkesë IKE, kërkon një përkufizim që mund të pranojë këtë peer, dhe pastaj vazhdon me vërtetimin dhe zgjedhjen e trafikut. Nëse në hapin e parë nuk përputhet asnjë përkufizim i ngarkuar, negocimi përfundon para se ndonjë gabim i dobishëm të arrijë te përdoruesi.

Prandaj «konfigurimi duket i saktë» nuk është provë. Pyetja është çfarë ka ngarkuar shërbimi në punë dhe cilin zë ka zgjedhur për këtë përpjekje. Një listë statusi i përgjigjet kësaj me një komandë të vetme, ndërsa buferi i redaktorit i përgjigjet një pyetjeje tjetër. Kontrolloni listën përpara se ta ndryshoni skedarin përsëri.

Grupi i parë i fushave: përkufizimi që është ngarkuar vërtet

Kontrolloni gjendjen në punë me mjetin që zotëron demonin: një komandë statusi që liston lidhjet e ngarkuara, jo buferin e redaktorit. Konfirmoni se zëri që prisni është i pranishëm, është aktivizuar për sjelljen e nisjes që synoni, dhe u ngarkua pas redaktimit tuaj të fundit. Një skedar i ruajtur por i pangarkuar përsëri është shkaku më i zakonshëm i «e rregullova dhe asgjë nuk ndryshoi».

Konfirmoni gjithashtu cilin skedar lexon shërbimi. Shpërndarjet ndryshojnë, dhe një lidhje e shkruar në përfshirjen e gabuar injorohet në heshtje në vend që të refuzohet. Nëse lista e statusit nuk e tregon fare zërin tuaj, dyshoni rrugën e përfshirjes para sintaksës.

Grupi i dytë i fushave: pikat fundore nuk janë identitete

Adresa nga e cila lidhet peer-i dhe identiteti me të cilin vërtetohet janë fusha të ndara. Një emër hosti, një emër dallues, një identifikues çelësi dhe një adresë mund të shërbejnë të gjithë si identitet IKE në varësi të konfigurimit, dhe nuk kanë nevojë të duken aspak si adresa publike.

Përputhja e pikave fundore mund të përfshijë edhe një pamje NAT: adresa e parë në rrjet mund të ndryshojë nga adresa që peer-i mendon se ka. Në modelin e lidhjeve të libreswan, left dhe right janë etiketa për dy pjesëmarrësit dhe jo një rend fiks lokal dhe i largët, prandaj kopjimi i një konfigurimi funksional nga një vend tjetër me ndërrimin e adresave nuk është përkthim i besueshëm.

Shkruani identitetin e pritur të të dyja palëve dhe kredencialin që e vërteton atë. Nëse ato dy rreshta nuk përputhen, asnjë rregullim adresash nuk do të prodhojë përputhje.

Grupi i tretë i fushave: trafiku që mbrohet

Përzgjedhësit përshkruajnë intervalet e brendshme të burimit dhe destinacionit, familjen e adresave të tyre dhe çdo kufizim protokolli ose porte. Një propozim për adresën e një hosti të vetëm nuk është i njëjti kërkesë si për një nënrrjet të tërë, dhe një përgjigjës i konfiguruar për nënrrjetin mund ta refuzojë ose ta ngushtojë atë.

Kur dy skajet nuk përputhen, krahasoni rrjedhën e synuar nga të dyja këndvështrimet në vend që të zgjeroni çdo përzgjedhës që diçka të lidhet. Pyetni çdo administrator se cilën rrjedhë mendon se po mbron, pastaj krahasoni dy përgjigjet. Mospërputhja zakonisht është një prefiks hosti në njërën anë dhe një nënrrjet në anën tjetër. Një tunel që përputhet sepse tani mbron gjithçka është një vendim tjetër sigurie, dhe një që askush nuk e ka miratuar.

Grupi i katërt i fushave: po lexoni një implementim

Libreswan, Openswan i vjetër dhe strongSwan kanë mjete të ndryshme administrimi, sintaksë të ndryshme konfigurimi dhe rend të ndryshëm përputhjeje. Një shembull funksional nga njëri nuk thotë asgjë të saktë për përparësinë e zgjedhjes së profilit ose formulimin e gabimeve të tjetrit, prandaj verifikoni me dokumentacionin e demonit në këtë host.

Ndërlidhni një përpjekje nga fillimi në fund: adresën e burimit të iniciatorit, identitetin e ofruar dhe përzgjedhësit e propozuar — kundrejt mesazhit të zgjedhjes së përgjigjësit dhe zërit të ngarkuar që ai emërton. Numëruesit zero të inkapsulimit dhe dekapsulimit thonë vetëm se asociacionet e vëzhguara nuk i kanë bartur ato paketa; ata nuk e emërtojnë pikën fundore që e refuzoi propozimin dhe nuk provojnë se në atë moment ekzistonte një zë që përputhej.

Pas një korrigjimi të koordinuar, konfirmoni profilin dhe asociacionin e zgjedhur, pastaj provoni shërbimin që lejohet në të vërtetë dhe rrugën e përgjigjes së tij. Përputhja e profilit mundëson negocimin, dhe negocimi nuk është kontrolli i fundit i aksesit.