MAC ไม่ตรงกันใน IKE หมายความว่าการตรวจสอบคีย์ที่แชร์ร่วมกันล้มเหลว

บันทึก Cloud VPN ของคุณแสดงความพยายามใช้คีย์ที่แชร์ร่วมกัน ตามด้วยข้อความว่า MAC ไม่ตรงกัน และสัญชาตญาณแรกมักเป็นการมองหาปัญหาเรื่องที่อยู่ ในสาขานี้ MAC คือรหัสรับรองความถูกต้องของข้อความ ซึ่งเป็นค่าที่คำนวณจากการแลกเปลี่ยนด้วยคีย์ที่เจรจาแล้ว คู่ตรงข้ามเปรียบเทียบการคำนวณของตนเองกับค่าที่ได้รับ และทั้งสองแตกต่างกัน ไม่มีการ์ดเครือข่ายเข้ามาเกี่ยวข้อง และไม่มีการตั้งค่าอินเทอร์เฟซใดเปลี่ยนการเปรียบเทียบนั้น

ในทางปฏิบัติ มีสองเงื่อนไขที่ทำให้เกิด: ความลับที่ปลายทั้งสองไม่ใช่ค่าเดียวกัน หรือตัวตนที่ใช้เลือกความลับไม่สอดคล้องกัน ตัดสินว่าเป็นอย่างไหนด้วยการอ่านคู่ ไม่ใช่ดูอุโมงค์เดียว

สิ่งที่ขั้นตอนนี้พิสูจน์

การตรวจสอบทำงานหลังจากทั้งสองฝ่ายแลกเปลี่ยนพารามิเตอร์เริ่มต้นและระบุตัวตนแล้ว มันเลือกคีย์ที่เป็นไปได้สำหรับตัวตนภายในและระยะไกล แล้วพยายามตรวจสอบข้อมูลรับรองความถูกต้องที่ได้รับ เมื่อไม่มีตัวใดผ่าน การวินิจฉัยจะถูกส่งออก นี่เป็นข้อความที่หนักแน่นเกี่ยวกับการรับรองความถูกต้อง และเป็นข้อความที่อ่อนเกี่ยวกับสาเหตุ เพราะไม่ได้บอกว่าฝ่ายใดผิด

ความสำเร็จก่อนหน้าไม่ได้ส่งต่อมาถึงการตรวจสอบนี้ IKE_SA_INIT ที่เสร็จสมบูรณ์ หรือเพย์โหลดตรวจจับ NAT ที่คืนค่าตามที่คาดไว้ พิสูจน์ว่าคู่ตรงข้ามสื่อสารกันได้ แต่ไม่ได้พิสูจน์อะไรเกี่ยวกับการแชร์ความลับ

ข้อผิดพลาดการกำหนดค่าสองอย่าง ข้อความเดียว

อย่างแรกคือความลับไม่ตรงกันจริง ซึ่งมักเป็นอุบัติเหตุตอนติดตั้ง: ค่าที่สร้างขึ้นติดตั้งบนคอนโซลหนึ่งแล้วพิมพ์ซ้ำบนอีกคอนโซล อักขระท้ายที่หลงเหลืออยู่ฝ่ายหนึ่ง หรือเครื่องหมายคำพูดที่ติดมาพร้อมการวาง อย่างที่สองคือตัวตนไม่ตรงกัน ซึ่งความลับถูกต้อง แต่ตัวตนที่คู่ตรงข้ามแสดงเลือกข้อมูลอีกรายการ ความลับที่ถูกจึงไม่เคยถูกทดลอง ทั้งสองให้บรรทัดเดียวกัน นั่นคือเหตุผลที่การเดาทำให้เสียเวลาครึ่งวัน

เปรียบเทียบคู่ก่อนแตะความลับใด ๆ จับคู่อุโมงค์ จุดปลายของคู่ ช่วงเวลา และการกำหนดค่าฝ่ายไกล เพราะอุโมงค์สำรองสองอันอาจมีความลับต่างกัน และหน้าจอตรงหน้าคุณอาจไม่ใช่ตัวที่ล้มเหลว

การตรวจจับ NAT เป็นอีกขั้นตอนหนึ่ง

การตรวจจับ NAT ถามว่าแพ็กเก็ตถูกเขียนใหม่อย่างไร ไม่ใช่ถามว่าคู่ตรงข้ามเป็นใคร เกตเวย์ลูกค้าที่อยู่หลัง NAT ยังรับรองความถูกต้องได้ถูกต้องเมื่อตัวตนที่กำหนดไว้เป็นตัวที่คู่ตรงข้ามคาดหวัง และปัญหา NAT จะปรากฏเป็นข้อเสนอหรือพอร์ตไม่ตรงกัน ไม่ใช่การเปรียบเทียบการรับรองความถูกต้องที่ล้มเหลว

อย่านำข้อความเก่าเกี่ยวกับรีลีสของผู้จำหน่ายรายหนึ่งมาใช้กับการติดตั้งปัจจุบัน สิ่งที่การผ่าน NAT ต้องการในรีลีสของคุณอยู่ในเอกสารของรีลีสนั้นเอง และวลี MAC ไม่ตรงกันไม่ใช่หลักฐานทั้งสนับสนุนและคัดค้าน

ตัดสินจากคู่ ไม่ใช่จากหน้าจอ

อ่านการกำหนดค่าทั้งสองข้างเคียงกันโดยปิดความลับไว้ แล้วถามสามคำถาม ตัวตนแต่ละฝ่ายตรงกับที่อีกฝ่ายคาดหวังทุกอักขระหรือไม่ ทั้งสองปลายใช้ IKE เวอร์ชันเดียวกันและวิธีการรับรองความถูกต้องเดียวกันหรือไม่ อุโมงค์ที่ล้มเหลวตรงกับการกำหนดค่าที่คุณอ่านอยู่หรือไม่ คำตอบว่าไม่สำหรับข้อใดข้อหนึ่งจะชี้การซ่อมโดยไม่ต้องแตะความลับ

หากทั้งสามข้อสะอาด ให้เปลี่ยนความลับผ่านขั้นตอนที่ได้รับอนุมัติ แทนที่จะแก้ไขอ้อม

หลังจากคู่ตรงข้ามรับรองความถูกต้องแล้ว

เมื่อการรับรองความถูกต้องสำเร็จ พื้นผิวความล้มเหลวถัดไปคือสมาคมความปลอดภัยลูก: ข้อเสนอและตัวเลือกทราฟฟิก อ่านสถานะของสมาคมลูก แล้วอ่านตัวเลือกและช่วงที่ได้รับการป้องกันทั้งสองฝ่าย และจับคู่คำแนะนำ การแก้ไขปัญหา Cloud VPN กับขั้นตอนที่ล้มเหลวจริง การหมุนความลับที่ได้รับการยอมรับแล้วไม่สามารถแก้ไขความล้มเหลวของสมาคมลูกได้ และยังทำให้ระบบหยุดนานขึ้น

เชื่อมโยงบันทึกใหม่จากปลายทั้งสอง สำหรับคู่เดียวกันและช่วงเวลาเดียวกัน ฝ่ายเดียวให้คำตัดสินโดยไม่มีข้อมูลอีกฝ่าย และนั่นคือความกำกวมที่สร้างข้อความนี้ตั้งแต่แรก

สิ่งที่ไม่ควรสรุป

อย่าอ่านข้อความเป็นข้อเรียกร้องให้เปลี่ยนที่อยู่ MAC และอย่าเผยแพร่ความลับที่แชร์ร่วมกันขณะขอความช่วยเหลือ ส่วนตัดตอนที่มีคีย์ต้องนำคีย์ออก ไม่ใช่เก็บบันทึกไว้ อย่าสันนิษฐานว่าเป็นความผิดพลาดของการกำหนดเส้นทาง เพราะคู่ตรงข้ามที่ไปถึงกันไม่ได้จะไม่สร้างการเปรียบเทียบการรับรองความถูกต้องเลย และอย่าสรุปข้อจำกัดที่เอกสารระบุไว้ของตระกูลผลิตภัณฑ์หนึ่งไปยังทุกการใช้งาน IPsec

บันทึกคู่ที่ล้มเหลว สถานะอุโมงค์ก่อนและหลัง และเงื่อนไขใดจากสองข้อที่คุณเปลี่ยน บันทึกนั้นจะเปลี่ยนครั้งถัดไปให้เป็นการตรวจสอบห้านาที