Када IKEv2 врати TS_UNACCEPTABLE, упоредите стварне подмреже

Читајте TS_UNACCEPTABLE као неслагање око покривености, а не као оштећен профил. Гејтвеј каже да се две стране нису могле договорити које адресе овај тунел сме да носи. IKE SA у том тренутку већ може бити подигнута, због чега клијент може изгледати повезан без иједне подређене SA иза себе. Када то тако уоквирите, посао постаје механички. Запишите предвиђене префиксе обе стране, упоредите их у једном смеру и сужавајте док се не пресеку.

Прво запишите предвиђене парове

Пре него што дирнете конфигурацију, наведите четири вредности: опсег извора иницијатора, његов опсег одредишта и исти пар виђен са стране одговорника. Запишите и фамилију адреса сваког од њих. Опсег IPv4 и опсег IPv6 су различити типови селектора и ниједан не може да се савије у корисни терет оног другог.

Додајте било какво ограничење протокола или порта које носи политика. Правило које дозвољава само TCP 445 ка серверу датотека описује ужи скуп од подмреже у којој се налази. Ако то изоставите из својих белешки, резултат преговора ће изгледати неконзистентно из разлога које не видите.

Обрните ознаке пре поређења

Локално и удаљено су релативне ознаке. Локални префикс клијента је удаљени опсег гејтвеја, а локални опсег гејтвеја је удаљени опсег клијента. Зато се снимци екрана са два краја никада не поклапају, а њихово буквално поређење је уобичајен начин да изгубите поподне.

Одговорник може да сузи понуду на прихватљив подскуп уместо да је одбије. Тај исход је гори од чистог неуспеха, јер ради на пола. Затражите 10.0.0.0/16 када политика дозвољава 10.0.5.0/24 и можете завршити са подређеном SA која покрива само тај /24. Један домаћин одговара, све остало испада напоље, и ништа у клијенту то не каже. Читајте прихваћене селекторе, а не тражене, пре него што закључите да су преговори успели.

Профили road warrior који траже подразумевану руту стално слећу овде. Гејтвеј изграђен за подељен приступ сужава понуду пуног опсега на своје подмреже, а клијент мора да прихвати сужени резултат или гласно да не успе.

Прочитајте одбијање из једног покушаја

Сакупите оба лога из истог покушаја повезивања. Сачуван профил показује шта сте конфигурисали, а не шта је предложено, а на strongSwan-у swanctl --log штампа примљено обавештење заједно са селекторима које је носило.

Затим проверите шта је заиста инсталирано. swanctl --list-sas приказује селекторе подређене SA, а ip xfrm policy приказује исте опсеге као уносе кернел политике. Подређена SA на том списку са селекторима које нисте намеравали је догађај сужавања; нема подређене SA плус TS_UNACCEPTABLE у логу значи одбијање.

Док сте тамо, раздвојите блиске суседе. INVALID_SELECTORS се жали на селектор унутар успостављене подређене SA, док INTERNAL_ADDRESS_FAILURE значи да одговорник није могао да додели виртуелну адресу, што је проблем базена, а не покривености.

Проверите шта тихо смањује скуп

Три ствари смањују скуп селектора без иједне речи. Политика одговорника је прва, кроз спискове подмрежа, групна правила или ауторизацију по кориснику која понуду своди на подскуп. Фамилија адреса је друга: клијент са два стека често предлаже IPv6 уз IPv4 и добија одбијање за опсеге које гејтвеј никада није конфигурисао.

Ограничења протокола и порта су трећа. Где политика дозвољава само TCP 445, подређена SA може да се подигне док ICMP и UDP остају изван ње, а корисник пријављује покварен тунел када је само један протокол био дозвољен.

Зато само проширивање адреса не може да поправи политику ограничену портом, а то је случај који највероватније преживи три круга решавања проблема непромењен.

Докажите покривеност саобраћајем који одговара

Пошто се подређена SA инсталира, пошаљите један захтев који сигурно пада унутар прихваћених опсега. Гледајте бројаче уместо иконе стања: ip -s xfrm state и бројачи иза ip xfrm policy расту када се пакет поклопи и заштити. Број бајтова који после стварног саобраћаја остане на нули значи да кернел никада није изабрао ту политику.

Та нула је проблем рутирања или редоследа политика, не криптографије. Такође изгледа идентично као одбијање селектора из угла корисника, зато вреди сакупити бројаче пре него што поново отворите профил. Бројачи који расту само у једном смеру указују на повратни пут.

Завршите тако што ћете прихваћени пар уписати у тикет, поред опсега који је првобитно тражен. Држите избор уским колико захтев тражи, јер уклањање грешке заменом приватног опсега свим адресама даје много више приступа него што је рачун одобрен.