IKEv2 TS_UNACCEPTABLE திருப்பித் தரும் போது, உண்மையான துணை வலையங்களை ஒப்பிடுங்கள்

TS_UNACCEPTABLE-ஐ கெட்டுப்போன சுயவிவரம் என்றல்ல, பரப்பளவு பற்றிய கருத்து வேறுபாடாகப் படியுங்கள். இந்தச் சுரங்கப்பாதை எந்த முகவரிகளை எடுத்துச் செல்லலாம் என்பதில் இரு தரப்பும் உடன்படவில்லை என்று நுழைவாயில் கூறுகிறது. அந்த நேரத்தில் IKE SA ஏற்கனவே எழுந்திருக்கலாம், அதனால்தான் பின்னால் எந்தக் குழந்தை SA இல்லாமலும் வாடிக்கையாளர் இணைந்ததாகத் தெரியலாம். இப்படிக் கட்டமைத்தால் வேலை இயந்திரத்தனமாகிறது. இரு தரப்பின் எண்ணப்பட்ட முன்னொட்டுகளை எழுதுங்கள், ஒரே திசையில் ஒப்பிடுங்கள், அவை வெட்டிக்கொள்ளும் வரை குறுக்குங்கள்.

முதலில் எண்ணப்பட்ட இணைகளை எழுதுங்கள்

கட்டமைப்பைத் தொடுவதற்கு முன் நான்கு மதிப்புகளைப் பட்டியலிடுங்கள்: தொடங்குபவரின் மூல வரம்பு, அதன் இலக்கு வரம்பு, மற்றும் பதிலளிப்பவர் பக்கத்திலிருந்து காணப்படும் அதே இணை. ஒவ்வொன்றின் முகவரிக் குடும்பத்தையும் பதிவு செய்யுங்கள். IPv4 வரம்பும் IPv6 வரம்பும் வெவ்வேறு தேர்வு வகைகள், எதையும் மற்றொன்றின் பேலோடில் மடிக்க முடியாது.

கொள்கை சுமக்கும் எந்த நெறிமுறை அல்லது துறைக் கட்டுப்பாட்டையும் சேர்க்கவும். கோப்புச் சேவையகத்திற்கு TCP 445 மட்டும் அனுமதிக்கும் விதி, அது அமர்ந்திருக்கும் துணை வலையத்தை விடக் குறுகிய தொகுப்பை விவரிக்கிறது. இதை உங்கள் குறிப்புகளில் இருந்து விட்டுவிட்டால், பேச்சுவார்த்தையின் விளைவு நீங்கள் காணாத காரணங்களால் முரண்பாடாகத் தெரியும்.

ஒப்பிடும் முன் லேபிள்களை மாற்றுங்கள்

உள்ளூர் மற்றும் தொலை என்பவை சார்பு லேபிள்கள். வாடிக்கையாளரின் உள்ளூர் முன்னொட்டு நுழைவாயிலின் தொலை வரம்பு, நுழைவாயிலின் உள்ளூர் வரம்பு வாடிக்கையாளரின் தொலை வரம்பு. எனவே இரு முனைகளின் திரைப்படங்கள் ஒருபோதும் பொருந்தாது, அவற்றை எழுத்துப்பூர்வமாக ஒப்பிடுவது ஒரு பிற்பகலை இழக்கும் வழக்கம்.

பதிலளிப்பவர் மறுப்பதற்குப் பதிலாக ஒரு முன்மொழிவை ஏற்கத்தக்க துணைக்குழுவாகக் குறுக்கலாம். அந்த முடிவு தூய தோல்வியை விட மோசம், ஏனெனில் அது பாதியாக வேலை செய்கிறது. கொள்கை 10.0.5.0/24-ஐ அனுமதிக்கும்போது 10.0.0.0/16 கேளுங்கள், அந்த /24-ஐ மட்டும் உள்ளடக்கும் குழந்தை SA-வுடன் முடியலாம். ஒரு புரவன் பதிலளிக்கிறது, மற்ற அனைத்தும் வெளியே விழுகிறது, வாடிக்கையாளரில் எதுவும் அதைச் சொல்லவில்லை. பேச்சுவார்த்தை வெற்றியடைந்தது என்று முடிவெடுக்கும் முன் கேட்கப்பட்டவை அல்ல, ஏற்கப்பட்ட தேர்வுகளைப் படியுங்கள்.

இயல்புநிலை வழியைக் கேட்கும் road warrior சுயவிவரங்கள் இங்கு தொடர்ந்து வந்திறங்குகின்றன. பிரிக்கப்பட்ட அணுகலுக்காகக் கட்டப்பட்ட நுழைவாயில் முழு வரம்பு முன்மொழிவை அதன் சொந்தத் துணை வலையங்களுக்குக் குறுக்குகிறது, வாடிக்கையாளர் குறுக்கப்பட்ட முடிவை ஏற்க வேண்டும் அல்லது சத்தமாகத் தோல்வியடைய வேண்டும்.

ஒரே முயற்சியில் இருந்து மறுப்பைப் படியுங்கள்

ஒரே இணைப்பு முயற்சியின் இரு பதிவுகளையும் சேகரிக்கவும். சேமித்த சுயவிவரம் நீங்கள் கட்டமைத்ததைக் காட்டுகிறது, முன்மொழியப்பட்டதை அல்ல, strongSwan-இல் swanctl --log பெற்ற அறிவிப்பை அது சுமந்த தேர்வுகளுடன் அச்சிடுகிறது.

பிறகு உண்மையில் என்ன நிறுவப்பட்டது என்பதைச் சரிபார்க்கவும். swanctl --list-sas குழந்தை SA-வின் தேர்வுகளைக் காட்டுகிறது, ip xfrm policy அதே வரம்புகளை கர்னல் கொள்கை உள்ளீடுகளாகக் காட்டுகிறது. அந்தப் பட்டியலில் நீங்கள் எண்ணாத தேர்வுகளுடன் ஒரு குழந்தை SA இருப்பது குறுக்கல் நிகழ்வு; பதிவில் குழந்தை SA இல்லாமல் TS_UNACCEPTABLE இருப்பது மறுப்பு.

அங்கிருக்கும்போது அருகிலுள்ள அண்டை வலையங்களைப் பிரிக்கவும். INVALID_SELECTORS நிலைபெற்ற குழந்தை SA-வுக்குள் உள்ள தேர்வைப் பற்றிப் புகார் செய்கிறது, ஆனால் INTERNAL_ADDRESS_FAILURE என்பது பதிலளிப்பவர் மெய்நிகர் முகவரியை ஒதுக்க முடியவில்லை என்பதாகும், இது பரப்பளவு அல்ல, குளச் சிக்கல்.

எது அமைதியாகத் தொகுப்பைச் சுருக்குகிறது என்பதைச் சரிபார்க்கவும்

மூன்று விஷயங்கள் எதுவும் சொல்லாமல் தேர்வுத் தொகுப்பைச் சுருக்குகின்றன. முதலாவது பதிலளிப்பவரின் கொள்கை, துணை வலைப் பட்டியல்கள், குழு விதிகள் அல்லது பயனர் வாரியான அனுமதி மூலம் முன்மொழிவைத் துணைக்குழுவாகக் குறைக்கிறது. இரண்டாவது முகவரிக் குடும்பம்: இரட்டை அடுக்கு வாடிக்கையாளர் பெரும்பாலும் IPv4-உடன் IPv6-ஐ முன்மொழிந்து, நுழைவாயில் ஒருபோதும் கட்டமைக்காத வரம்புகளுக்கு மறுப்பைப் பெறுகிறது.

மூன்றாவது நெறிமுறை மற்றும் துறைக் கட்டுப்பாடுகள். கொள்கை TCP 445-ஐ மட்டும் அனுமதிக்கும் இடத்தில், ICMP-யும் UDP-வும் வெளியே இருக்க, குழந்தை SA எழலாம், ஒரே நெறிமுறை மட்டுமே அனுமதிக்கப்பட்டிருந்தாலும் பயனர் சுரங்கப்பாதை உடைந்ததாகப் புகார் அளிக்கிறார்.

எனவே முகவரிகளை மட்டும் விரிவாக்குவது துறையால் கட்டுப்படுத்தப்பட்ட கொள்கையைச் சரிசெய்ய முடியாது, மூன்று சுற்று சிக்கல் தீர்வுக்குப் பிறகும் மாற்றமின்றி தப்பிப்பிழைக்க அதிக வாய்ப்புள்ள நிலை இதுவே.

பொருந்தும் போக்குவரத்தால் பரப்பளவை நிரூபியுங்கள்

குழந்தை SA நிறுவப்பட்ட பிறகு, ஏற்கப்பட்ட வரம்புகளுக்குள் நிச்சயமாக விழும் ஒரு கோரிக்கையை அனுப்புங்கள். நிலைச் சின்னத்திற்குப் பதிலாக எண்ணிகளைப் பாருங்கள்: பொதி பொருந்தி பாதுகாக்கப்படும்போது ip -s xfrm state மற்றும் ip xfrm policy-க்குப் பின்னுள்ள எண்ணிகள் உயர்கின்றன. உண்மையான போக்குவரத்துக்குப் பிறகும் பூஜ்ஜியத்திலேயே இருக்கும் பைட் எண்ணிக்கை என்பது கர்னல் அந்தக் கொள்கையை ஒருபோதும் தேர்ந்தெடுக்கவில்லை என்பதாகும்.

அந்தப் பூஜ்ஜியம் வழியமைப்பு அல்லது கொள்கை வரிசைச் சிக்கல், குறியாக்கச் சிக்கல் அல்ல. பயனரின் இடத்திலிருந்து அது தேர்வு மறுப்பைப் போலவே தெரிகிறது, எனவே சுயவிவரத்தை மீண்டும் திறப்பதற்கு முன் எண்ணிகளைச் சேகரிப்பது மதிப்புள்ளது. ஒரே திசையில் மட்டும் உயரும் எண்ணிகள் அதற்குப் பதிலாகத் திரும்பும் பாதையைச் சுட்டுகின்றன.

ஏற்கப்பட்ட இணையை முதலில் கேட்கப்பட்ட வரம்பின் அருகில் பதிவில் எழுதி முடியுங்கள். தேவையளவு குறுகலாகத் தேர்வை வைத்திருங்கள், ஏனெனில் தனிப்பட்ட வரம்பை எல்லா முகவரிகளாலும் மாற்றி பிழையை நீக்குவது கணக்கிற்கு அனுமதிக்கப்பட்டதை விட மிக அதிக அணுகலைத் தருகிறது.