IKEv2 TS_UNACCEPTABLE తిరిగి ఇచ్చినప్పుడు, నిజమైన సబ్నెట్లను పోల్చండి

TS_UNACCEPTABLE-ను పాడైన ప్రొఫైల్గా కాకుండా, కవరేజ్పై అసమ్మతిగా చదవండి. ఈ టన్నెల్ ఏ చిరునామాలను మోయగలదో రెండు వైపులా ఏకీభవించలేదని గేట్వే చెబుతోంది. ఆ క్షణంలో IKE SA ఇప్పటికే పైకి ఉండవచ్చు, అందుకే వెనుక ఎలాంటి చైల్డ్ SA లేకుండానూ క్లయింట్ కనెక్ట్ అయినట్టు కనిపించవచ్చు. అలా చట్రంలో పెట్టిన తర్వాత పని యాంత్రికంగా మారుతుంది. రెండు వైపుల ఉద్దేశించిన ప్రిఫిక్స్లను రాయండి, ఒకే దిశలో పోల్చండి, అవి కలిసే వరకు సన్నగా చేయండి.

మొదట ఉద్దేశించిన జతలను రాయండి

కాన్ఫిగరేషన్ తాకే ముందు నాలుగు విలువలను జాబితా చేయండి: ప్రారంభించే వ్యక్తి మూల పరిధి, దాని గమ్య పరిధి, మరియు ప్రతిస్పందించే వైపు నుంచి కనిపించే అదే జత. ఒక్కొక్కటి చిరునామా కుటుంబాన్ని కూడా నమోదు చేయండి. IPv4 పరిధి మరియు IPv6 పరిధి వేర్వేరు ఎంపిక రకాలు, ఏదీ మరొకదాని పేలోడ్లో మడవలేము.

విధానం మోసే ఏ ప్రోటోకాల్ లేదా పోర్ట్ పరిమితినైనా జోడించండి. ఫైల్ సర్వర్కు TCP 445 మాత్రమే అనుమతించే నియమం, అది ఉన్న సబ్నెట్ కంటే ఇరుకైన సమితిని వివరిస్తుంది. దీన్ని మీ నోట్స్ నుంచి బయట ఉంచితే, చర్చల ఫలితం మీకు కనిపించని కారణాల వల్ల అసంగతంగా కనిపిస్తుంది.

పోల్చే ముందు లేబుళ్లను తిరగవేయండి

స్థానిక మరియు దూర అనేవి సాపేక్ష లేబుళ్లు. క్లయింట్ స్థానిక ప్రిఫిక్స్ గేట్వే దూర పరిధి, గేట్వే స్థానిక పరిధి క్లయింట్ దూర పరిధి. అందుకే రెండు చివరల స్క్రీన్షాట్లు ఎప్పుడూ సరిపోలవు, వాటిని అక్షరాలా పోల్చడం మధ్యాహ్నాన్ని కోల్పోయే సాధారణ మార్గం.

ప్రతిస్పందించేది తిరస్కరించడం బదులు ప్రతిపాదనను ఆమోదయోగ్యమైన ఉపసమితికి సన్నగా చేయవచ్చు. ఆ ఫలితం స్వచ్ఛమైన వైఫల్యం కంటే చెడ్డది, ఎందుకంటే అది సగం పని చేస్తుంది. విధానం 10.0.5.0/24 అనుమతించినప్పుడు 10.0.0.0/16 అడగండి, ఆ /24 మాత్రమే ఆవరించే చైల్డ్ SAతో ముగియవచ్చు. ఒక హోస్ట్ సమాధానం ఇస్తుంది, మిగతావన్నీ బయట పడతాయి, క్లయింట్లో ఏదీ అలా చెప్పదు. చర్చలు విజయవంతమయ్యాయని నిర్ధారించే ముందు అడిగినవి కాకుండా ఆమోదించిన ఎంపికలను చదవండి.

డిఫాల్ట్ మార్గం అడిగే road warrior ప్రొఫైల్స్ ఇక్కడ నిరంతరం దిగుతాయి. విభజిత యాక్సెస్ కోసం నిర్మించిన గేట్వే పూర్తి పరిధి ప్రతిపాదనను తన సబ్నెట్లకు సన్నగా చేస్తుంది, క్లయింట్ సన్నగా చేసిన ఫలితాన్ని అంగీకరించాలి లేదా గట్టిగా విఫలమవ్వాలి.

ఒకే ప్రయత్నం నుంచి తిరస్కరణను చదవండి

ఒకే కనెక్షన్ ప్రయత్నం నుంచి రెండు లాగ్లను సేకరించండి. సేవ్ చేసిన ప్రొఫైల్ మీరు కాన్ఫిగర్ చేసినది చూపిస్తుంది, ప్రతిపాదించినది కాదు, strongSwanలో swanctl --log అందుకున్న నోటిఫికేషన్ను అది మోసిన ఎంపికలతో పాటు ముద్రిస్తుంది.

తర్వాత నిజంగా ఏమి ఇన్స్టాల్ అయిందో పరిశీలించండి. swanctl --list-sas చైల్డ్ SA ఎంపికలను చూపిస్తుంది, ip xfrm policy అదే పరిధులను కర్నెల్ విధాన నమోదులుగా చూపిస్తుంది. ఆ జాబితాలో మీరు ఉద్దేశించని ఎంపికలున్న చైల్డ్ SA సన్నగా మారిన సంఘటన; లాగ్లో చైల్డ్ SA లేకుండా TS_UNACCEPTABLE ఉండటం తిరస్కరణ.

అక్కడ ఉన్నప్పుడు దగ్గరి పొరుగువారిని వేరు చేయండి. INVALID_SELECTORS స్థాపిత చైల్డ్ SA లోపలి ఎంపిక గురించి ఫిర్యాదు చేస్తుంది, INTERNAL_ADDRESS_FAILURE అంటే ప్రతిస్పందించేది వర్చువల్ చిరునామా కేటాయించలేకపోయింది, ఇది కవరేజ్ కాదు, పూల్ సమస్య.

సమితిని నిశ్శబ్దంగా ఏమి చిన్నది చేస్తుందో తనిఖీ చేయండి

మూడు విషయాలు ఏమీ చెప్పకుండా ఎంపిక సమితిని చిన్నది చేస్తాయి. మొదటిది ప్రతిస్పందించేది విధానం, సబ్నెట్ జాబితాలు, సమూహ నియమాలు లేదా వినియోగదారు వారీ అనుమతి ద్వారా ప్రతిపాదనను ఉపసమితిగా తగ్గిస్తుంది. రెండవది చిరునామా కుటుంబం: ద్వంద్వ స్టాక్ క్లయింట్ తరచుగా IPv4తో పాటు IPv6 ప్రతిపాదిస్తుంది, గేట్వే ఎప్పుడూ కాన్ఫిగర్ చేయని పరిధులకు తిరస్కరణ పొందుతుంది.

మూడవది ప్రోటోకాల్ మరియు పోర్ట్ పరిమితులు. విధానం TCP 445 మాత్రమే అనుమతించే చోట, ICMP మరియు UDP బయట ఉండగానే చైల్డ్ SA పైకి రావచ్చు, ఒకే ప్రోటోకాల్ మాత్రమే అనుమతించబడినప్పటికీ వినియోగదారు టన్నెల్ విరిగిందని నివేదిస్తాడు.

అందువల్ల చిరునామాలను మాత్రమే విస్తరించడం పోర్ట్ పరిమిత విధానాన్ని సరిచేయలేదు, మూడు రౌండ్ల సమస్య పరిష్కారం తర్వాత కూడా మార్పు లేకుండా బతికి ఉండే అవకాశం ఎక్కువ ఉన్న సందర్భం అదే.

సరిపోయే ట్రాఫిక్తో కవరేజ్ను నిరూపించండి

చైల్డ్ SA ఇన్స్టాల్ అయిన తర్వాత, ఆమోదించిన పరిధుల లోపల ఖచ్చితంగా పడే ఒక అభ్యర్థనను పంపండి. స్థితి చిహ్నం బదులు కౌంటర్లను చూడండి: ప్యాకెట్ సరిపోలి రక్షించబడినప్పుడు ip -s xfrm state మరియు ip xfrm policy వెనుక కౌంటర్లు పెరుగుతాయి. నిజమైన ట్రాఫిక్ తర్వాత కూడా సున్నాలో ఉండే బైట్ల సంఖ్య అంటే కర్నెల్ ఆ విధానాన్ని ఎప్పుడూ ఎంచుకోలేదు.

ఆ సున్నా మార్గనిర్దేశన లేదా విధాన క్రమ సమస్య, క్రిప్టో సమస్య కాదు. వినియోగదారు స్థానం నుంచి అది ఎంపిక తిరస్కరణలాగే కనిపిస్తుంది, అందుకే ప్రొఫైల్ను మళ్లీ తెరిచే ముందు కౌంటర్లను సేకరించడం విలువైనది. ఒకే దిశలో మాత్రమే పెరిగే కౌంటర్లు బదులుగా తిరిగి వచ్చే మార్గాన్ని సూచిస్తాయి.

ఆమోదించిన జతను టికెట్లో, మొదట అడిగిన పరిధి పక్కన రాసి ముగించండి. ఎంపికను అవసరం మేరకు ఇరుకుగా ఉంచండి, ఎందుకంటే ప్రైవేట్ పరిధిని అన్ని చిరునామాలతో భర్తీ చేసి లోపాన్ని తీసేయడం ఖాతాకు ఆమోదించిన దానికంటే చాలా ఎక్కువ ప్రాప్యత ఇస్తుంది.