Долазни IPsec партнер не одговара ниједном профилу? Проверите четири поља

Ваш партнер извештава да је тунел подигнут, ваша страна не приказује ниједну безбедносну асоцијацију, а конфигурациона датотека очигледно садржи одговарајући назив везе. Све три тврдње могу бити истовремено истините. Долазно преговарање се упоређује са конфигурацијом која ради, према адреси партнера, идентитету који представља и саобраћају који предлаже. Датотека на диску која никада није учитана, идентитет који не одговара очекиваној вредности или пар селектора померен за један префикс — сваки од њих производи тишину. Прођите кроз четири групе поља редоследом којим иде одговарач.

Почните од пакета, а не од датотеке

Одговарач прима IKE захтев, тражи дефиницију која може да прихвати овог партнера, а затим наставља са аутентикацијом и избором саобраћаја. Ако се у првом кораку не подудара ниједна учитана дефиниција, преговарање се завршава пре него што икаква корисна грешка стигне до корисника.

Зато „конфигурација изгледа исправно“ није доказ. Питање је шта је покренута услуга учитала и који је запис изабрала за овај покушај. Списак стања одговара на то једном командом, док бафер уређивача одговара на друго питање. Проверите списак пре него што поново промените датотеку.

Прва група поља: дефиниција која је заиста учитана

Проверите покренуто стање алатом који поседује демон: командом стања која исписује учитане везе, а не бафером уређивача. Потврдите да очекивани запис постоји, да је омогућен за жељено понашање при покретању и да је учитан након ваше последње измене. Сачувана датотека која није поново учитана најчешћи је узрок реченице „поправио сам и ништа се није променило“.

Потврдите и коју датотеку услуга чита. Дистрибуције се разликују, а веза записана у погрешно укључивање тихо се занемарује уместо да буде одбијена. Ако списак стања уопште не приказује ваш запис, посумњајте у путању укључивања пре него у синтаксу.

Друга група поља: крајње тачке нису идентитети

Адреса са које се партнер повезује и идентитет којим се потврђује два су одвојена поља. Име хоста, разликовно име, ознака кључа и адреса могу послужити као IKE идентитет у зависности од конфигурације и уопште не морају изгледати као јавна адреса.

Подударање крајњих тачака може укључивати и NAT поглед: адреса виђена на мрежи може се разликовати од адресе за коју партнер мисли да је има. У libreswan-овом моделу веза, left и right су ознаке два учесника, а не фиксни редослед локалног и удаљеног, зато копирање исправне конфигурације са другог локалитета уз замену адреса није поуздан превод.

Запишите очекивани идентитет обе стране и уверење које га потврђује. Ако се та два реда не слажу, никакво дотеривање адреса неће дати подударање.

Трећа група поља: саобраћај који се штити

Селектори описују унутрашње опсеге извора и одредишта, њихову адресну фамилију и свако ограничење протокола или порта. Предлог за адресу једног хоста није исти захтев као за целу подмрежу, а одговарач конфигурисан за подмрежу може га одбити или сузити.

Када се два краја не слажу, упоредите предвиђени ток из обе перспективе уместо да проширите сваки селектор како би се нешто повезало. Питајте сваког администратора који ток мисли да штити, па упоредите два одговора. Несклад је обично префикс хоста на једној страни и подмрежа на другој. Тунел који се подудара јер сада штити све друга је безбедносна одлука и она коју нико није одобрио.

Четврта група поља: читате једну имплементацију

Libreswan, старији Openswan и strongSwan имају различите алате за управљање, различиту синтаксу конфигурације и различит редослед подударања. Радни пример из једног ништа тачно не говори о приоритету избора профила или формулацији грешака другог, зато проверите у документацији за демон на овом хосту.

Повежите један покушај од почетка до краја: изворну адресу покретача, понуђени идентитет и предложене селекторе — са поруком избора одговарача и учитаним записом који она именује. Нулти бројачи капсулирања и декапсулације само кажу да посматране асоцијације нису пренеле те пакете; они не именују крајњу тачку која је одбила предлог нити доказују да је у том тренутку постојао одговарајући запис.

Након усаглашене исправке потврдите изабрани профил и асоцијацију, затим испробајте стварно дозвољену услугу и пут њеног одговора. Подударање профила омогућава преговарање, а преговарање није последња провера приступа.