ห้าบทบาทของที่อยู่ในโปรไฟล์ IPsec และอันไหนที่ผิด

งานที่แตกต่างกันห้าอย่างได้รับที่อยู่ในนิยามการเชื่อมต่อทั่วไป และไม่จำเป็นต้องตรงกัน ผู้ดูแลระบบติดขัดเพราะสัญชาตญาณที่สมเหตุสมผล คือการชี้ทุกฟิลด์ไปที่โฮสต์เดียวกัน ผิดสำหรับอย่างน้อยสามในห้า ทางออกคือการตั้งชื่ออาการก่อน แล้วจึงดูฟิลด์หนึ่งหรือสองฟิลด์ที่อาจทำให้เกิดอาการนั้น

งานทั้งห้า ตามลำดับความสำคัญ

จุดปลายทางการรับส่งคือที่ที่การแลกเปลี่ยน IKE ถูกส่งไป ตัวตนที่ผ่านการพิสูจน์คือชื่อที่แต่ละฝ่ายพิสูจน์ และตรวจสอบกับนโยบาย ไม่ใช่กับตารางเส้นทาง ซับเน็ตที่ป้องกันคือตัวเลือกที่กำหนดว่าทราฟฟิกภายในใดอยู่ในอุโมงค์ จากนั้นคือแหล่งที่มาที่ใช้เมื่อเกตเวย์เองเริ่มบทสนทนา และสุดท้ายคือฮอปถัดไปของชั้นล่างเพื่อไปถึงเพียร์

ป้ายกำกับผู้ร่วมอย่าง left และ right เป็นธรรมเนียมสำหรับสองฝ่ายของการเชื่อมต่อ ไม่ใช่คำพ้องของภายในและระยะไกล อ่านคู่มือของการติดตั้งใช้งานจริงก่อนสันนิษฐานว่าคีย์หนึ่งๆ หมายถึงสิ่งที่ผลิตภัณฑ์อื่นหมายถึง

การตัดสินใจข้อแรก: ไม่มีอะไรก่อตัว

เมื่อไม่มีบันทึกการแลกเปลี่ยนปรากฏเลย จุดปลายทางคือผู้ต้องสงสัยรายแรก: ที่อยู่ผิด เส้นทางที่ถูกกรอง หรืออินเทอร์เฟซที่เดมอนไม่ได้ฟังอยู่ ย้ายไปยังฟิลด์ตัวตนหลังจากเห็นแฮนด์เชคแล้วเท่านั้น เพราะตัวตนถูกตัดสินภายในการแลกเปลี่ยน ไม่ใช่ก่อนหน้านั้น เส้นทางที่ถูกกรองและที่อยู่ผิดดูเหมือนกันจากฝั่งไคลเอนต์ ดังนั้นตรวจสอบฝั่งที่ฟังอยู่ก่อนแก้ไขสิ่งใด ยืนยันว่าเดมอนผูกกับอินเทอร์เฟซที่คุณคาดไว้ เพราะบริการที่ฟังบนที่อยู่เดียวดูเหมือนเส้นทางที่ถูกบล็อกทุกประการ

ที่อยู่สาธารณะที่สังเกตผ่านการแปลไม่ใช่สิ่งเดียวกับตัวตนที่เพียร์พิสูจน์ การเปลี่ยนที่อยู่ให้ตรงกับสิ่งที่การดักจับแพ็กเก็ตแสดงที่ปลายทางไกลเป็นการแก้ไขที่พบบ่อยและผิด

การตัดสินใจข้อสอง: อุโมงค์ขึ้นแล้วแต่ทราฟฟิกตาย

ตัวเลือกกำหนดว่าอะไรเข้าสู่อุโมงค์ และความไม่ตรงกันตรงนี้ทำให้เกิดการเชื่อมต่อที่เจรจาสำเร็จแต่แอปพลิเคชันยังล้มเหลว ฝ่ายไกลต้องระบุช่วงที่ป้องกันของคุณเป็นช่วงระยะไกลของตน และตรงนั้นเองที่ค่าที่กลับด้านเล็ดลอดเข้ามา

อ่านทั้งสองการกำหนดค่าควบคู่กันก่อนแก้ไข ช่วงภายในบนโฮสต์หนึ่งคือช่วงระยะไกลบนอีกโฮสต์ และคู่ที่สลับกันเพียงคู่เดียวอธิบายอุโมงค์ที่ไม่บรรทุกอะไรเลย ทำให้คู่แคบลงก่อนแตะคีย์: ซับเน็ตหนึ่งในอุโมงค์และอีกหนึ่งนอกอุโมงค์บอกคุณว่าตัวเลือกหรือการกำหนดเส้นทางเป็นตัวปัญหา

การตัดสินใจข้อสาม: เฉพาะทราฟฟิกของเกตเวย์เองที่ล้มเหลว

ทราฟฟิกที่ส่งต่อให้ไคลเอนต์อาจทำงานได้อย่างสมบูรณ์ในขณะที่คำขอที่เกตเวย์เองเริ่มต้นล้มเหลว เพราะกระแสนั้นไม่มีแหล่งไคลเอนต์ให้สืบทอด การตั้งค่าแหล่งที่ต้องการมีอยู่เพื่อกรณีนี้โดยเฉพาะ และไม่ใช่การแปลแหล่งที่มา: มันเลือกที่อยู่ต้นทางแทนการเขียนใหม่

แอปพลิเคชันที่ผูกที่อยู่อื่นอย่างชัดเจนสามารถเอาชนะการตั้งค่าได้ ดังนั้นยืนยันแหล่งที่มาที่แท้จริงของแพ็กเก็ตก่อนสรุปว่าการตั้งค่าถูกเพิกเฉย ดักจับบนอินเทอร์เฟซของเกตเวย์เองแทนการไว้วางใจเจตนาของการกำหนดค่า

ฮอปถัดไปคือคำสั่งภายใน

ฮอปถัดไปของชั้นล่างบอกโฮสต์นี้ว่าจะไปถึงเพียร์ได้อย่างไร และฝ่ายไกลไม่ต้องการค่าเดียวกัน การปฏิบัติต่อมันเป็นการตั้งค่าร่วม หรือการเขียนเกตเวย์เริ่มต้นแบบตายตัว จะพังในขณะที่เส้นทางเปลี่ยนหรือมีเส้นทางที่สองปรากฏ

บางการติดตั้งใช้งานมีค่าพิเศษตรงนี้ สิ่งที่คู่มือระบุสำหรับเวอร์ชันที่ติดตั้งคือคำตอบที่ปลอดภัยเพียงอย่างเดียว และตารางเส้นทางภายในคือหลักฐานว่ามันทำงาน เมื่อเพียร์เข้าถึงได้ด้วยชื่อแต่ไม่ใช่ด้วยที่อยู่ ความไม่ตรงกันนั้นคือสิ่งที่ค้นพบ ไม่ใช่รายละเอียดที่ต้องหลบเลี่ยง

อ่านโปรไฟล์จากทั้งสองปลาย

การกลับบทบาทบนกระดาษคือการทบทวนที่เร็วที่สุดที่มี: สลับช่วงที่ป้องกัน รักษาฮอปถัดไปของแต่ละฝ่ายและตัวตนของแต่ละฝ่าย สิ่งใดที่ไม่รอดจากการสลับนั้นน่าจะถูกกำหนดให้งานที่ผิด

จากนั้นทดสอบหนึ่งกระแสต่อบทบาท: การเข้าถึงระหว่างเพียร์ กระแสไคลเอนต์ภายใน และคำขอที่เกิดจากเกตเวย์ การทดสอบสามอย่างบอกคุณว่างานใดถูกกำหนดผิดโดยไม่ต้องเปิดการกำหนดค่าอีกครั้ง เพิ่มผลลัพธ์ในตั๋วข้างฟิลด์ที่คุณเปลี่ยน เพราะวิศวกรคนถัดไปจะพบโปรไฟล์เดียวกัน