Limang tungkulin ng address sa isang IPsec profile, at alin ang mali
Endpoint, pagkakakilanlan, protektadong subnet, pinagmulan ng gateway at susunod na hop ay may kanya-kanyang sinasagot na tanong. Itugma muna ang sintomas sa field.
Limang magkaibang gawain ang tumatanggap ng address sa karaniwang depinisyon ng koneksyon, at hindi kailangang magkasundo ang mga ito. Naiipit ang mga administrator dahil ang makatwirang instinto, ang itutok ang lahat ng field sa iisang host, ay mali para sa hindi bababa sa tatlo sa kanila. Ang paraan ay pangalanan muna ang sintomas at pagkatapos tingnan ang isa o dalawang field na maaaring lumikha nito.
Ang limang gawain, sa ayos ng kahalagahan
Ang endpoint ng transportasyon ay kung saan inihahatid ang palitan ng IKE. Ang napatunayang pagkakakilanlan ay ang pangalang pinatutunayan ng bawat panig, at sinusuri ito laban sa patakaran, hindi laban sa routing table. Ang mga protektadong subnet ay ang mga tagapili na nagpapasya kung aling panloob na trapiko ang kabilang sa tunnel. Pagkatapos ay mayroong pinagmulang ginagamit kapag ang gateway mismo ang nagsimula ng usapan, at sa huli ang susunod na hop ng underlay upang maabot ang peer.
Ang mga label ng kalahok tulad ng left at right ay mga kombensyon para sa dalawang panig ng koneksyon, hindi kasingkahulugan ng lokal at malayo. Basahin ang manwal ng implementasyong aktuwal na naka-install bago ipagpalagay na ang isang key ay nangangahulugan ng ibig sabihin nito sa ibang produkto.
| Job | Typical key | What fails when it is wrong |
|---|---|---|
| Transport endpoint | left, right | No IKE exchange at all |
| Authenticated identity | leftid, rightid | Exchange starts, peer rejects it |
| Protected subnets | leftsubnet, rightsubnet | Tunnel up, traffic not selected |
| Gateway source | leftsourceip, rightsourceip | Only gateway-originated flows fail |
| Underlay next hop | leftnexthop, rightnexthop | Peer unreachable from this host only |
Unang pasya: walang naitatatag
Kapag wala talagang palitang lumilitaw sa mga log, ang endpoint ang unang pinaghihinalaan: maling address, sinasala na landas, o interface na hindi pinakikinggan ng daemon. Lumipat sa mga field ng pagkakakilanlan pagkatapos lamang makita ang handshake, dahil hinuhusgahan ang pagkakakilanlan sa loob ng palitan, hindi bago ito. Ang sinasala na landas at maling address ay magkapareho ang itsura mula sa kliyente, kaya suriin ang panig na nakikinig bago mag-edit ng anuman. Tiyakin na ang daemon ay nakatali sa interface na inaasahan mo, dahil ang serbisyong nakikinig sa isang address ay mukhang eksaktong isang naharang na landas.
Ang pampublikong address na namasdan sa pamamagitan ng pagsasalin ay hindi katulad ng pagkakakilanlang pinatutunayan ng peer. Ang pagbabago ng address upang tumugma sa ipinapakita ng pagkuha ng packet sa dulong bahagi ay karaniwan at maling pagwawasto.
Ikalawang pasya: nakataas ang tunnel at namamatay ang trapiko
Ang mga tagapili ang nagpapasya kung ano ang pumapasok sa tunnel, at ang pagkakaiba rito ay lumilikha ng koneksyong matagumpay na nakikipagnegosasyon habang nabibigo pa rin ang aplikasyon. Dapat pangalanan ng malayong panig ang iyong protektadong saklaw bilang sarili nitong malayong saklaw, at doon mismo pumapasok ang mga baligtad na halaga.
Basahin ang dalawang konfigurasyon nang magkatabi bago mag-edit. Ang lokal na saklaw sa isang host ay ang malayong saklaw sa isa pa, at isang palit na pares lang ang nagpapaliwanag ng tunnel na walang dinadala. Paliitin ang pares bago hawakan ang mga key: isang subnet sa loob ng tunnel at isa sa labas ang magsasabi kung ang tagapili o ang routing ang may kasalanan.
Ikatlong pasya: nabibigo lamang ang sariling trapiko ng gateway
Ang trapikong ipinapasa para sa mga kliyente ay maaaring gumana nang perpekto habang nabibigo ang kahilingang sinimulan ng gateway mismo, dahil wala ang daloy na iyon ng pinagmulang kliyente na mamamana. Ang setting ng ginustong pinagmulan ay umiiral para sa kasong ito, at hindi ito pagsasalin ng pinagmulan: pumipili ito ng address ng pinagmulan sa halip na muling isulat ang isa.
Ang aplikasyong tahasang nagtatali ng ibang address ay maaaring manaig sa kagustuhan, kaya tiyakin ang aktuwal na pinagmulan ng packet bago magpasyang binabalewala ang setting. Kunan sa sariling interface ng gateway sa halip na magtiwala sa layunin ng konfigurasyon.
Ang susunod na hop ay lokal na tagubilin
Ang susunod na hop ng underlay ay nagsasabi sa host na ito kung paano maabot ang peer, at hindi kailangan ng malayong panig ang parehong halaga. Ang pagtrato dito bilang pinagsasaluhang setting, o ang hardcoding ng default na gateway, ay nasisira sa sandaling magbago ang ruta o may lumitaw na ikalawang landas.
Ang ilang implementasyon ay nag-aalok ng espesyal na halaga dito. Ang nakalista sa manwal para sa naka-install na bersyon ang tanging ligtas na sagot, at ang lokal na routing table ang patunay na gumana ito. Kapag naaabot ang peer sa pangalan ngunit hindi sa address, ang pagkakaibang iyon ang natuklasan, hindi isang detalyeng iiwasan.
Basahin ang profile mula sa dalawang dulo
Ang pagbaligtad ng mga tungkulin sa papel ang pinakamabilis na pagsusuri na mayroon: palitan ang mga protektadong saklaw, panatilihin ang sariling susunod na hop ng bawat panig at ang sariling pagkakakilanlan ng bawat panig. Anumang hindi nakakaligtas sa palitan ay malamang na itinalaga sa maling gawain.
Pagkatapos subukan ang isang daloy bawat tungkulin: maabot sa pagitan ng mga peer, panloob na daloy ng kliyente at kahilingang nagmumula sa gateway. Sinasabi ng tatlong pagsubok kung aling gawain ang maling itinalaga nang hindi muling binubuksan ang konfigurasyon. Idagdag ang resulta sa tiket sa tabi ng field na binago mo, dahil makikita ng susunod na inhinyero ang parehong profile.