Kufikia mteja wa IKEv2 kwenye IP yake pepe iliyotengwa

Lango lazima lianzishe muunganisho kwa kompyuta mpakato iliyounganishwa nalo kupitia IKEv2, likitumia anwani pepe iliyotengwa kwa mteja huyo. Handaki liko hai, mteja anafikia kila kitu nyuma ya lango, lakini mwelekeo wa kinyume bado unashindikana. Utofauti huo ni wa kawaida: sera iliyojadiliwa inaeleza anwani zipi zinaweza kuzungumza, si upande gani unaweza kuanzisha. Mambo matatu lazima yapatane kabla ombi linaloanzishwa na lango lifanye kazi.

Handaki hairekebishi anwani ya chanzo

CHILD SA hufunika jozi ya vichaguzi vya trafiki, kimoja kwa kila upande, na huruhusu trafiki katika pande zote mbili za jozi hiyo. Haisemi chochote kuhusu mwenzake aliyefungua mabadilishano ya IKE kwanza. Lango ambalo awali lilisikiliza handaki bado linaweza kutuma pakiti ya kwanza ya programu, mradi chanzo na lengwa zilizochaguliwa ziwe ndani ya vichaguzi vilivyosakinishwa. Ombi linapotoka kwenye kiolesura kisichofaa, halifai kwa handaki.

Uelekezaji kuelekea mteja ni muhimu na hautoshi. Sera lazima ikubali chanzo ulichotumia kwa kweli.

Soma sera iliyosakinishwa, si faili ya usanidi

Anza na muungano hai na vichaguzi vyake, kwa sababu ugawaji unaobadilika hubadilisha kile kilichosakinishwa kwenye kerneli.

ipsec statusall
ip xfrm policy

Matokeo ya hali yanataja muunganisho, anwani pepe iliyotengwa na vichaguzi vinavyotumika kwa sasa kwa mwenzake huyo. Dumpu ya sera inaonyesha vichaguzi hivyo hivyo kama hali ya kerneli, na ndiyo inayoshauriwa kwa kweli na uteuzi wa pakiti. Linganisha kichaguzi cha upande wa lango na chanzo ambacho programu yako itatumia, kwa sababu kutopatana kunaeleza hitilafu mara moja. Soma anwani ya sasa ya mteja na si ile ya kipindi kilichopita, kwa sababu VIP iliyotengwa upya huifanya sera ya zamani kuwa batili.

Mteja lazima asikilize mahali pakiti inapowasili

Hata sera kamilifu hufikia bandari iliyofungwa wakati huduma inajifunga kwa loopback pekee. Msikilizaji lazima awe kwenye anwani iliyotengwa au kwenye anwani ya ndani ya jumla.

ss -ltnp 'sport = :9090'
iptables -S INPUT

Orodha ya soketi inaonyesha kama bandari imefungwa na anwani pepe, na kanuni za ukuta wa moto zinaonyesha kama muunganisho mpya unakubaliwa kutoka chanzo kilicholindwa. Kanuni iliyoandikwa kwa muunganisho ulioanzishwa haikubali muunganisho unaoanzishwa na lango. Weka uthibitishaji wa huduma yenyewe, kwa sababu kufika kupitia handaki kunathibitisha tu mtandao ambao pakiti ilitoka. Mteja aliye nyuma ya NAT yake mwenyewe bado hahitaji uelekezaji wa bandari ya kuingia, kwa sababu maombi haya husafiri ndani ya handaki lililopo.

Jaribu mwelekeo mpya peke yake

Ombi lililofanikiwa kutoka mteja hadi seva haliwahi kujaribu njia hii. Tengeneza ombi kutoka lango na uangalie pande zote mbili.

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

Utafutaji wa njia hujibu chanzo na kiolesura ambacho lango lingetumia, na hiyo ndiyo thamani ambayo sera lazima ikubali. Ukamataji unapaswa kuonyesha ombi likitoka ndani ya ESP na si kama TCP ya kawaida kwenye kiolesura cha umma. Kwa mteja, kamata trafiki iliyofumbuliwa ili kuthibitisha kuwasili na kama huduma ilijibu. Ikiwa ombi linatoweka bila ESP kwenye waya, shuku anwani ya chanzo kabla ya ukuta wa moto wa mteja.

Rudia jaribio baada ya kubadilisha ufunguo au kuunganisha tena, kwa sababu VIP inaweza kubadilika. Njia inayofanya kazi hadi kipindi kijacho tu si njia inayofanya kazi.