Wakati IKEv2 inarudisha TS_UNACCEPTABLE, linganisha subnet halisi

Soma TS_UNACCEPTABLE kama kutokubaliana kuhusu ufikiaji, si kama wasifu ulioharibika. Lango linasema kwamba pande mbili hazikuweza kukubaliana ni anwani gani ambazo handaki hii inaweza kubeba. IKE SA inaweza kuwa tayari imeinuka wakati huo, ndiyo sababu mteja anaweza kuonekana ameunganishwa bila SA mtoto nyuma yake. Ukiiweka hivyo, kazi inakuwa ya kiufundi. Andika viambishi vinavyokusudiwa vya pande zote mbili, vilinganishe kwa mwelekeo mmoja, na upunguze hadi viingiliane.

Kwanza andika jozi zinazokusudiwa

Kabla ya kugusa usanidi, orodhesha thamani nne: masafa ya chanzo ya mwanzilishi, masafa yake ya mwisho, na jozi hiyo hiyo kuonekana kutoka upande wa mjibu. Andika pia familia ya anwani ya kila moja. Masafa ya IPv4 na masafa ya IPv6 ni aina tofauti za kichaguzi, na hakuna moja linaloweza kukunjwa ndani ya mzigo wa lingine.

Ongeza kizuizi chochote cha itifaki au bandari ambacho sera inabeba. Kanuni inayoruhusu tu TCP 445 kwa seva ya faili inaeleza seti nyembamba kuliko subnet inayoishi. Ukiacha hilo nje ya maelezo yako, matokeo ya mazungumzo yataonekana hayalingani kwa sababu ambazo huoni.

Geuza lebo kabla ya kuzilinganisha

Ya ndani na ya mbali ni lebo linganishi. Kiambishi cha ndani cha mteja ni masafa ya mbali ya lango, na masafa ya ndani ya lango ni ya mbali ya mteja. Ndiyo sababu picha za skrini kutoka ncha mbili hazilingani kamwe, na kuzilinganisha kihalisi ni njia ya kawaida ya kupoteza mchana.

Mjibu anaweza kupunguza toleo hadi sehemu ndogo inayokubalika badala ya kulikataa. Matokeo hayo ni mabaya kuliko kushindwa safi, kwa sababu hufanya kazi nusu. Omba 10.0.0.0/16 wakati sera inaruhusu 10.0.5.0/24, na unaweza kuishia na SA mtoto inayofunika /24 hiyo pekee. Mwenyeji mmoja anajibu, kila kitu kingine kinaanguka nje, na hakuna kitu kwenye mteja kinachosema hivyo. Soma vichaguzi vilivyokubaliwa badala ya vile vilivyoombwa kabla ya kuhitimisha kuwa mazungumzo yalifanikiwa.

Wasifu wa road warrior wanaoomba njia chaguo-msingi hutua hapa kila mara. Lango lililojengwa kwa ufikiaji uliogawanywa hupunguza toleo la masafa kamili hadi subnet zake mwenyewe, na mteja lazima akubali matokeo yaliyopunguzwa au ashindwe kwa sauti kubwa.

Soma kukataliwa kutoka jaribio moja

Kusanya kumbukumbu zote mbili kutoka jaribio moja la muunganisho. Wasifu uliohifadhiwa unaonyesha ulichosanidi, si kilichopendekezwa, na kwenye strongSwan swanctl --log huchapisha taarifa iliyopokelewa pamoja na vichaguzi vilivyokuwa navyo.

Kisha chunguza kilichosakinishwa kwa kweli. swanctl --list-sas unaonyesha vichaguzi vya SA mtoto, na ip xfrm policy unaonyesha masafa hayo hayo kama maingizo ya sera ya kerneli. SA mtoto katika orodha hiyo ikiwa na vichaguzi usivyokusudia ni tukio la upunguzaji; hakuna SA mtoto pamoja na TS_UNACCEPTABLE kwenye kumbukumbu ni kukataliwa.

Ukiwa huko, tenganisha majirani wa karibu. INVALID_SELECTORS inalalamika kuhusu kichaguzi ndani ya SA mtoto iliyoimarishwa, wakati INTERNAL_ADDRESS_FAILURE ina maana kwamba mjibu hakuweza kutenga anwani pepe, ambayo ni tatizo la bwawa na si la ufikiaji.

Angalia ni nini kinachopunguza seti kimya kimya

Mambo matatu hupunguza seti ya vichaguzi bila kusema chochote. Sera ya mjibu ni ya kwanza, kupitia orodha za subnet, kanuni za kikundi au idhini kwa kila mtumiaji zinazopunguza toleo hadi sehemu ndogo. Familia ya anwani ni ya pili: mteja wa safu mbili mara nyingi hupendekeza IPv6 kando ya IPv4 na hupata kukataliwa kwa masafa ambayo lango halijawahi kusanidi.

Vizuizi vya itifaki na bandari ni vya tatu. Ambapo sera inaruhusu tu TCP 445, SA mtoto inaweza kuinuka wakati ICMP na UDP zinabaki nje yake, na mtumiaji anaripoti handaki iliyovunjika wakati itifaki moja ilikuwa ndiyo yote iliyoruhusiwa.

Kwa hiyo kupanua anwani pekee hakuwezi kurekebisha sera iliyozuiwa kwa bandari, na hiyo ndiyo kesi inayowezekana zaidi kuokoka raundi tatu za utatuzi wa matatizo bila mabadiliko.

Thibitisha ufikiaji kwa trafiki inayofaa

Baada ya SA mtoto kusakinishwa, tuma ombi moja ambalo hakika linaanguka ndani ya masafa yaliyokubaliwa. Tazama vihesabu badala ya aikoni ya hali: ip -s xfrm state na vihesabu vilivyo nyuma ya ip xfrm policy huongezeka wakati pakiti inalinganishwa na kulindwa. Idadi ya baiti inayobaki sifuri baada ya trafiki halisi ina maana kwamba kerneli haikuchagua sera hiyo kamwe.

Sifuri hiyo ni tatizo la uelekezaji au mpangilio wa sera, si tatizo la usimbaji fiche. Pia inaonekana sawa kabisa na kukataliwa kwa kichaguzi kutoka kwa mtazamo wa mtumiaji, ndiyo sababu vihesabu vinafaa kukusanywa kabla ya kufungua wasifu tena. Vihesabu vinavyopanda upande mmoja pekee vinaelekeza badala yake kwenye njia ya kurudi.

Maliza kwa kuandika jozi iliyokubaliwa kwenye tiketi, kando ya masafa yaliyoombwa awali. Weka uteuzi mwembamba kadri ya hitaji, kwa sababu kufuta hitilafu kwa kubadilisha masafa ya kibinafsi na anwani zote kunatoa ufikiaji mwingi zaidi kuliko ulivyoidhinishwa kwa akaunti.