Пет улога адресе у IPsec профилу и која је од њих погрешна
Крајња тачка, идентитет, заштићена подмрежа, извор пролаза и следећи скок сваки одговара на друго питање. Прво повежите симптом са пољем.
Пет различитих послова добија адресу у типичној дефиницији везе и не морају се међусобно слагати. Администратори заглаве јер је разуман инстинкт, да сви параметри показују на исти домаћин, погрешан за најмање три од њих. Излаз је да се прво именује симптом, а затим погледа једно или два поља која су га могла изазвати.
Пет послова, по редоследу важности
Крајња тачка транспорта је место где се доставља IKE размена. Аутентификовани идентитет је име које свака страна доказује, и оно се проверава према политици, а не према табели рутирања. Заштићене подмреже су селектори који одлучују који унутрашњи саобраћај припада тунелу. Затим ту је извор који се користи када сам пролаз започне разговор, и на крају следећи скок доњег слоја за достизање партнера.
Ознаке учесника као left и right су конвенције за две стране везе, а не синоними за локално и удаљено. Прочитајте приручник за имплементацију која је стварно инсталирана пре него што претпоставите да кључ значи оно што је други производ подразумевао.
| Job | Typical key | What fails when it is wrong |
|---|---|---|
| Transport endpoint | left, right | No IKE exchange at all |
| Authenticated identity | leftid, rightid | Exchange starts, peer rejects it |
| Protected subnets | leftsubnet, rightsubnet | Tunnel up, traffic not selected |
| Gateway source | leftsourceip, rightsourceip | Only gateway-originated flows fail |
| Underlay next hop | leftnexthop, rightnexthop | Peer unreachable from this host only |
Одлука прва: ништа се не успоставља
Када се у евиденцијама уопште не појави размена, крајња тачка је први осумњичени: погрешна адреса, филтрирана путања или интерфејс на ком демон не слуша. Пређите на поља идентитета тек пошто руковање постане видљиво, јер се идентитет оцењује унутар размене, а не пре ње. Филтрирана путања и погрешна адреса изгледају исто са стране клијента, зато проверите страну која слуша пре него што било шта уредите. Потврдите да је демон везан за интерфејс који очекујете, јер услуга која слуша на једној адреси изгледа тачно као блокирана путања.
Јавна адреса примећена кроз превод није исто што и идентитет који партнер доказује. Мењање адресе да би одговарала ономе што снимање пакета показује на далеком крају јесте честа и погрешна исправка.
Одлука друга: тунел је подигнут, а саобраћај умире
Селектори одлучују шта улази у тунел, и неусаглашеност овде даје везу која успешно преговара док апликација и даље пада. Далека страна мора да наведе ваш заштићени опсег као свој удаљени опсег, и управо ту се увлаче обрнуте вредности.
Прочитајте обе конфигурације једну поред друге пре уређивања. Локални опсег на једном домаћину је удаљени опсег на другом, и један замењен пар објашњава тунел који ништа не преноси. Сузите пар пре него што дотакнете кључеве: једна подмрежа унутар тунела и једна изван говоре вам да ли је крив селектор или рутирање.
Одлука трећа: пада само сопствени саобраћај пролаза
Саобраћај прослеђен за клијенте може да ради беспрекорно док захтев који сам пролаз започне пада, јер тај ток нема клијентски извор који би наследио. Подешавање жељеног извора постоји управо за овај случај и није превод извора: бира изворну адресу уместо да је преписује.
Апликација која изричито везује другу адресу може да надјача жељени извор, зато потврдите стварни извор пакета пре него што закључите да се подешавање игнорише. Снимајте на сопственом интерфејсу пролаза уместо да верујете намери конфигурације.
Следећи скок је локална инструкција
Следећи скок доњег слоја говори овом домаћину како да стигне партнера, а далекој страни није потребна иста вредност. Третирање тога као заједничког подешавања или тврдо кодирање подразумеваног пролаза ломи се у тренутку када се рута промени или појави други пут.
Неке имплементације нуде посебне вредности овде. Оно што приручник наводи за инсталирану верзију једини је сигуран одговор, а локална табела рутирања је доказ да је успело. Када је партнер доступан по имену, али не по адреси, та неусаглашеност је налаз, а не појединост коју треба заобићи.
Читајте профил са оба краја
Преокретање улога на папиру је најбржи преглед који постоји: замените заштићене опсеге, задржите сопствени следећи скок сваке стране и сопствени идентитет сваке стране. Све што не преживи замену вероватно је додељено погрешном послу.
Затим тестирајте један ток по улози: доступност између партнера, унутрашњи клијентски ток и захтев који потиче са пролаза. Три теста кажу која је улога погрешно додељена без поновног отварања конфигурације. Додајте резултат у тикет поред поља које сте променили, јер ће следећи инжењер срести исти профил.