Fem adressroller i en IPsec-profil, och vilken som är fel
Slutpunkt, identitet, skyddat subnät, gateway-källa och nästa hopp svarar var och en på en annan fråga. Koppla först symtomet till fältet.
Fem olika uppgifter får en adress i en typisk anslutningsdefinition, och de behöver inte stämma överens. Administratörer kör fast eftersom en förnuftig instinkt, att peka alla fält mot samma värd, är fel för minst tre av dem. Vägen ut är att först namnge symtomet och sedan titta på det ena eller de två fälten som kan framkalla det.
De fem uppgifterna, i den ordning de spelar roll
Transportens slutpunkt är där IKE-utbytet levereras. Den autentiserade identiteten är det namn varje sida bevisar, och den kontrolleras mot policy och inte mot en routingtabell. De skyddade subnäten är de selektorer som avgör vilken inre trafik som hör till tunneln. Sedan finns källan som används när gatewayen själv inleder ett samtal, och till sist nästa hopp i underlagret för att nå peeren.
Deltagaretiketter som left och right är konventioner för två sidor av en anslutning, inte synonymer för lokalt och fjärran. Läs handboken för den implementering som faktiskt är installerad innan du antar att en nyckel betyder det ett annat märke menade med den.
| Job | Typical key | What fails when it is wrong |
|---|---|---|
| Transport endpoint | left, right | No IKE exchange at all |
| Authenticated identity | leftid, rightid | Exchange starts, peer rejects it |
| Protected subnets | leftsubnet, rightsubnet | Tunnel up, traffic not selected |
| Gateway source | leftsourceip, rightsourceip | Only gateway-originated flows fail |
| Underlay next hop | leftnexthop, rightnexthop | Peer unreachable from this host only |
Beslut ett: ingenting etableras
När inget utbyte alls visas i loggarna är slutpunkten den första misstänkta: en fel adress, en filtrerad väg eller ett gränssnitt som daemonen inte lyssnar på. Flytta till identitetsfälten först när ett handslag syns, eftersom identitet bedöms inne i utbytet och inte före det. En filtrerad väg och en fel adress ser identiska ut från klienten, så kontrollera den lyssnande sidan innan du redigerar något. Bekräfta att daemonen är bunden till det gränssnitt du förväntar dig, eftersom en tjänst som lyssnar på en adress ser precis ut som en blockerad väg.
En offentlig adress som observeras genom översättning är inte samma sak som den identitet en peer bevisar. Att ändra en adress så att den matchar det en paketfångst visar i den bortre änden är en vanlig och felaktig rättelse.
Beslut två: tunneln är uppe och trafiken dör
Selektorerna avgör vad som kommer in i tunneln, och en avvikelse här ger en anslutning som förhandlar framgångsrikt medan applikationen fortfarande misslyckas. Den bortre sidan måste namnge ditt skyddade område som sitt fjärrområde, och det är just där omvända värden smyger sig in.
Läs båda konfigurationerna sida vid sida innan du redigerar. Det lokala området på en värd är fjärrområdet på den andra, och ett enda ombytt par förklarar en tunnel som inte bär något. Snäva in paret innan du rör nycklarna: ett subnät inne i tunneln och ett utanför säger dig om det är selektorn eller routingen som är skyldig.
Beslut tre: bara gatewayens egen trafik misslyckas
Trafik som vidarebefordras för klienter kan fungera perfekt medan en förfrågan som gatewayen själv startar misslyckas, eftersom det flödet inte har någon klientkälla att ärva. Inställningen för föredragen källa finns just för detta fall, och den är inte källöversättning: den väljer en källadress i stället för att skriva om en.
En applikation som uttryckligen binder en annan adress kan åsidosätta preferensen, så bekräfta paketets faktiska källa innan du drar slutsatsen att inställningen ignoreras. Fånga på gatewayens eget gränssnitt i stället för att lita på konfigurationens avsikt.
Nästa hopp är en lokal instruktion
Nästa hopp i underlagret talar om för den här värden hur peeren nås, och den bortre sidan behöver inte samma värde. Att behandla det som en delad inställning, eller hårdkoda en standardgateway, bryts i samma ögonblick som rutten ändras eller en andra väg dyker upp.
Vissa implementationer erbjuder särskilda värden här. Det handboken listar för den installerade versionen är det enda säkra svaret, och den lokala routingtabellen är beviset på att det fungerade. När en peer nås på namn men inte på adress, är den avvikelsen fyndet, inte en detalj att arbeta sig runt.
Läs profilen från båda ändar
Att vända rollerna på papperet är den snabbaste granskning som finns: byt de skyddade områdena, behåll varje sidas eget nästa hopp och varje sidas egen identitet. Allt som inte överlever bytet är förmodligen tilldelat fel uppgift.
Testa sedan ett flöde per roll: nåbarhet mellan peers, ett inre klientflöde och en förfrågan som utgår från gatewayen. Tre tester säger vilken uppgift som är felaktigt tilldelad utan att öppna konfigurationen igen. Lägg resultatet till ärendet bredvid fältet du ändrade, eftersom nästa ingenjör möter samma profil.