Mospërputhja e MAC në IKE do të thotë që kontrolli i çelësit të përbashkët dështoi

Regjistri i Cloud VPN tregon një përpjekje me çelës të përbashkët, të ndjekur nga mesazhi që MAC nuk përputhet, dhe instinkti i parë është shpesh kërkimi i një problemi me adresën. Në këtë degë MAC është një kod vërtetimi mesazhi: një vlerë e llogaritur mbi shkëmbimin me çelësin e negociuar. Palët krahasuan llogaritjen e vet me vlerën që morën, dhe ato ndryshonin. Nuk përfshihet asnjë kartë rrjeti, dhe asnjë rregullim ndërfaqeje nuk e ndryshon atë krahasim.

Në praktikë e shkaktojnë dy kushte: sekretet në dy skajet nuk janë e njëjta vlerë, ose identitetet që përdoren për të zgjedhur sekretin nuk përputhen. Vendosni cila prej tyre duke lexuar palën, jo tunelin e vetëm.

Çfarë provon kjo fazë

Kontrolli ekzekutohet pasi të dyja palët kanë shkëmbyer parametrat fillestarë dhe janë identifikuar. Ai zgjedh çelësa kandidatë për identitetin lokal dhe të largët dhe përpiqet të vërtetojë të dhënat e vërtetimit që ka marrë; kur asnjë nuk vërtetohet, diagnostikimi emetohet. Ky është një pohim i fortë për vërtetimin dhe një pohim i dobët për shkakun, sepse nuk thotë cila anë është e gabuar.

Suksesi i mëparshëm nuk bartet në këtë kontroll. Një IKE_SA_INIT i përfunduar, ose një ngarkesë zbulimi NAT që ktheu vlerat e pritura, provon se palët mund të komunikojnë. Nuk provon asgjë rreth faktit nëse ndajnë një sekret.

Dy gabime konfigurimi, një mesazh

I pari është një mospërputhje e vërtetë sekretesh, dhe zakonisht është një aksident gjatë përgatitjes: një vlerë e gjeneruar e instaluar në një konsolë dhe e rishkruar në tjetrën, një karakter në fund që mbijetoi në njërën anë, ose një thonjëz që erdhi bashkë me një ngjitje. I dyti është një mospërputhje identiteti, ku sekreti është i saktë, por identiteti që paraqet pala zgjedh një zë tjetër, kështu që sekreti i duhur nuk provohet kurrë. Të dy prodhojnë të njëjtin rresht, dhe prandaj hamendësimi kushton një pasdite.

Krahasoni palën përpara se të prekni ndonjë nga sekretet. Përputhni tunelin, pikën fundore të palës, dritaren kohore dhe konfigurimin e largët, sepse dy tunele të tepërta mund të mbajnë sekrete të ndryshme dhe ekrani përpara jush mund të mos jetë ai që dështoi.

Zbulimi NAT është një fazë tjetër

Zbulimi NAT pyet se si rishkruhen paketat, jo kush është pala. Një portë klienti pas NAT vazhdon të vërtetohet saktë kur identiteti i konfiguruar është ai që pret pala, dhe një problem NAT shfaqet si mospërputhje propozimi ose porte, jo si një krahasim vërtetimi i dështuar.

Mos e çoni një pohim të vjetër për një version furnizuesi në një vendosje aktuale. Ajo që kërkon kalimi përmes NAT në versionin tuaj i përket dokumentacionit të tij, dhe shprehja mospërputhje MAC nuk është provë as për as kundër.

Vendosni sipas palës, jo sipas ekranit

Lexoni të dy konfigurimet krah për krah me sekretin e mbuluar, pastaj bëni tri pyetje. A është identiteti në secilën anë saktësisht ai që pret tjetra, karakter për karakter? A përdorin të dy skajet të njëjtin version IKE dhe të njëjtën metodë vërtetimi? A i përgjigjet tuneli që dështon konfigurimit që po lexoni? Një jo për cilindo prej tyre vendos riparimin pa prekur sekretin.

Nëse të tre janë të pastër, zëvendësoni sekretin përmes rrjedhës së miratuar të punës, në vend që t'i shmangeni me redaktime.

Pasi pala të vërtetohet

Sapo vërtetimi kalon, sipërfaqja tjetër e dështimit është shoqërimi fëmijë i sigurisë: propozimet dhe përzgjedhësit e trafikut. Rotacioni i një sekreti të pranuar tashmë nuk mund të rregullojë një dështim të fëmijës dhe e zgjat ndërprerjen. Lexoni gjendjen e fëmijës, pastaj përzgjedhësit dhe intervalet e mbrojtura në të dyja anët, dhe përputhni udhëzimet e zgjidhjes së problemeve të Cloud VPN me fazën që dështoi vërtet.

Korreloni regjistra të freskët nga të dy skajet për të njëjtën palë dhe të njëjtën dritare. Një anë e vetme jep një verdikt pa kontributin e anës tjetër, dhe pikërisht kjo është paqartësia që e prodhoi mesazhin në fillim.

Çfarë nuk duhet të konkludohet

Mos e lexoni mesazhin si një kërkesë për të ndryshuar adresat MAC, dhe mos e publikoni sekretin e përbashkët kur kërkoni ndihmë; një fragment që përmban çelësin kërkon që çelësi të hiqet, jo që regjistri të mbahet. As mos supozoni një defekt rrugëtimi, sepse palët që nuk arrijnë njëra-tjetrën nuk prodhojnë fare krahasim vërtetimi. Dhe mos e përgjithësoni një kufizim të dokumentuar nga një familje produktesh në çdo zbatim IPsec.

Shënoni palën që dështoi, gjendjen e tunelit para dhe pas, dhe cilën nga dy kushtet ndryshuat. Ai shënim e kthen ndodhinë e radhës në një kontroll pesëminutësh.