เพื่อน IPsec ฝั่งขาเข้าไม่ตรงกับโปรไฟล์ใดเลย? ตรวจสอบสี่ฟิลด์

เพื่อนของคุณรายงานว่าอุโมงค์ขึ้นแล้ว ฝั่งคุณไม่แสดงความเชื่อมโยงด้านความปลอดภัย และไฟล์กำหนดค่ามีชื่อการเชื่อมต่อที่ตรงกันอย่างชัดเจน ทั้งสามข้อความนี้เป็นจริงพร้อมกันได้ การเจรจาขาเข้าจะถูกจับคู่กับกำหนดค่าที่กำลังทำงาน โดยใช้ที่อยู่ของเพื่อน ตัวตนที่มันนำเสนอ และทราฟฟิกที่มันเสนอ ไฟล์บนดิสก์ที่ไม่เคยถูกโหลด ตัวตนที่ไม่ตรงกับค่าที่คาดไว้ หรือคู่ตัวเลือกที่คลาดไปหนึ่งคำนำหน้า แต่ละอย่างล้วนก่อให้เกิดความเงียบ เดินผ่านสี่กลุ่มฟิลด์ตามลำดับที่ตัวตอบกลับทำ

เริ่มจากแพ็กเก็ต ไม่ใช่จากไฟล์

ตัวตอบกลับได้รับคำขอ IKE ค้นหาคำจำกัดความที่ยอมรับเพื่อนรายนี้ได้ แล้วจึงดำเนินการต่อด้วยการพิสูจน์ตัวตนและการเลือกทราฟฟิก หากในขั้นแรกไม่มีคำจำกัดความที่โหลดไว้ตรงกันเลย การเจรจาจะจบก่อนที่ข้อผิดพลาดที่เป็นประโยชน์จะไปถึงผู้ใช้

เพราะฉะนั้น “กำหนดค่าดูถูกต้อง” จึงไม่ใช่หลักฐาน คำถามคือบริการที่กำลังทำงานโหลดอะไรไว้และเลือกรายการใดสำหรับความพยายามนี้ รายการสถานะตอบคำถามนั้นได้ด้วยคำสั่งเดียว ขณะที่บัฟเฟอร์ของโปรแกรมแก้ไขตอบคำถามอื่น ตรวจสอบรายการก่อนที่คุณจะแก้ไฟล์อีกครั้ง

กลุ่มฟิลด์ที่หนึ่ง: คำจำกัดความที่โหลดอยู่จริง

ตรวจสอบสถานะที่กำลังทำงานด้วยเครื่องมือที่เป็นเจ้าของเดมอน คำสั่งสถานะที่แสดงรายการการเชื่อมต่อที่โหลดไว้ ไม่ใช่บัฟเฟอร์ของโปรแกรมแก้ไข ยืนยันว่ารายการที่คุณคาดไว้มีอยู่ ถูกเปิดใช้งานสำหรับพฤติกรรมการเริ่มต้นที่คุณต้องการ และถูกโหลดหลังการแก้ไขครั้งล่าสุดของคุณ ไฟล์ที่บันทึกแต่ไม่ได้โหลดใหม่คือสาเหตุที่พบบ่อยที่สุดของ “แก้แล้วแต่ไม่มีอะไรเปลี่ยน”

ยืนยันด้วยว่าบริการอ่านไฟล์ใด การติดตั้งแตกต่างกัน และการเชื่อมต่อที่เขียนไว้ในไฟล์รวมที่ผิดจะถูกเพิกเฉยอย่างเงียบ ๆ แทนที่จะถูกปฏิเสธ หากรายการสถานะไม่แสดงรายการของคุณเลย ให้สงสัยเส้นทางการรวมก่อนไวยากรณ์

กลุ่มฟิลด์ที่สอง: จุดปลายทางไม่ใช่ตัวตน

ที่อยู่ที่เพื่อนเชื่อมต่อเข้ามาและตัวตนที่ใช้พิสูจน์ตัวตนเป็นฟิลด์แยกกัน ชื่อโฮสต์ ชื่อที่โดดเด่น รหัสกุญแจ และที่อยู่ ล้วนเป็นตัวตน IKE ได้ตามการกำหนดค่า และไม่จำเป็นต้องดูเหมือนที่อยู่สาธารณะเลย

การจับคู่จุดปลายทางอาจเกี่ยวข้องกับมุมมอง NAT ด้วย ที่อยู่ที่เห็นบนเครือข่ายอาจแตกต่างจากที่อยู่ที่เพื่อนคิดว่าตนมี ในรูปแบบการเชื่อมต่อของ libreswan นั้น left และ right เป็นป้ายกำกับของผู้เข้าร่วมสองฝ่าย ไม่ใช่ลำดับท้องถิ่นและระยะไกลที่ตายตัว ด้วยเหตุนี้การคัดลอกกำหนดค่าที่ใช้งานได้จากอีกไซต์แล้วสลับที่อยู่จึงไม่ใช่การแปลที่เชื่อถือได้

จดตัวตนที่คาดหวังของทั้งสองฝ่ายและข้อมูลรับรองที่ตรวจสอบตัวตนนั้น หากสองบรรทัดนั้นไม่ตรงกัน การปรับที่อยู่ไม่ว่ามากเพียงใดก็จะไม่ได้การจับคู่

กลุ่มฟิลด์ที่สาม: ทราฟฟิกที่ได้รับการป้องกัน

ตัวเลือกอธิบายช่วงต้นทางและปลายทางภายใน ตระกูลที่อยู่ของช่วงเหล่านั้น และข้อจำกัดของโปรโตคอลหรือพอร์ตใด ๆ ข้อเสนอสำหรับที่อยู่โฮสต์เดียวไม่ใช่คำขอเดียวกับทั้งซับเน็ต และตัวตอบกลับที่กำหนดค่าสำหรับซับเน็ตอาจปฏิเสธหรือจำกัดข้อเสนอนั้น

เมื่อปลายทั้งสองไม่ตรงกัน ให้เปรียบเทียบโฟลว์ที่ตั้งใจจากทั้งสองมุมมองแทนการขยายตัวเลือกทุกตัวเพื่อให้บางสิ่งเชื่อมต่อได้ ถามผู้ดูแลแต่ละคนว่าคิดว่ากำลังป้องกันโฟลว์ใด แล้วเปรียบเทียบคำตอบทั้งสอง ความไม่ตรงกันมักเป็นคำนำหน้าโฮสต์ที่ด้านหนึ่งและซับเน็ตที่อีกด้านหนึ่ง อุโมงค์ที่ตรงกันเพราะตอนนี้ป้องกันทุกอย่างเป็นการตัดสินใจด้านความปลอดภัยอีกแบบ และเป็นแบบที่ไม่มีใครอนุมัติ

กลุ่มฟิลด์ที่สี่: คุณกำลังอ่านการใช้งานเพียงหนึ่งเดียว

Libreswan, Openswan รุ่นเก่า และ strongSwan มีเครื่องมือบริหารจัดการต่างกัน ไวยากรณ์กำหนดค่าต่างกัน และลำดับการจับคู่ต่างกัน ตัวอย่างที่ใช้งานได้จากตัวหนึ่งไม่ได้บอกอะไรที่แม่นยำเกี่ยวกับลำดับความสำคัญในการเลือกโปรไฟล์หรือถ้อยคำข้อผิดพลาดของอีกตัว ดังนั้นให้ตรวจสอบกับเอกสารของเดมอนบนโฮสต์นี้

เชื่อมโยงความพยายามหนึ่งครั้งตั้งแต่ต้นจนจบ ที่อยู่ต้นทางของผู้เริ่มต้น ตัวตนที่เสนอ และตัวเลือกที่เสนอ เทียบกับข้อความเลือกของตัวตอบกลับและรายการที่โหลดไว้ซึ่งมันระบุชื่อ ตัวนับการห่อหุ้มและการแกะห่อที่เป็นศูนย์เพียงบอกว่าความเชื่อมโยงที่สังเกตเห็นไม่ได้บรรทุกแพ็กเก็ตเหล่านั้น มันไม่ได้ระบุชื่อจุดปลายทางที่ปฏิเสธข้อเสนอ และไม่ได้พิสูจน์ว่ามีรายการที่ตรงกันอยู่ในขณะนั้น

หลังการแก้ไขที่ประสานกันแล้ว ให้ยืนยันโปรไฟล์และความเชื่อมโยงที่เลือก แล้วทดสอบบริการที่ได้รับอนุญาตจริงและเส้นทางการตอบกลับของบริการนั้น การตรงกันของโปรไฟล์ทำให้การเจรจาเป็นไปได้ และการเจรจาไม่ใช่การตรวจสอบการเข้าถึงขั้นสุดท้าย