Kapag nagbalik ang IKEv2 ng TS_UNACCEPTABLE, ihambing ang tunay na subnet

Basahin ang TS_UNACCEPTABLE bilang hindi pagkakasundo sa saklaw, hindi bilang sirang profile. Sinasabi ng gateway na hindi nagkasundo ang dalawang panig kung aling mga address ang maaaring dalhin ng tunnel na ito. Maaaring nakaangat na ang IKE SA sa sandaling iyon, kaya maaaring magmukhang konektado ang kliyente nang walang SA anak sa likod nito. Kapag ganito ang pagkakabalangkas, nagiging mekanikal ang trabaho. Isulat ang nilalayong prefix ng dalawang panig, ihambing ang mga ito sa isang direksyon, at pagkitirin hanggang magsalubong.

Isulat muna ang nilalayong pares

Bago hawakan ang configuration, ilista ang apat na halaga: saklaw ng pinagmulan ng nagpasimula, saklaw ng destinasyon nito, at ang parehong pares na tinitingnan mula sa panig ng tumutugon. Itala rin ang pamilya ng address ng bawat isa. Ang saklaw ng IPv4 at saklaw ng IPv6 ay magkaibang uri ng tagapili, at wala sa kanila ang maaaring itiklop sa payload ng isa.

Idagdag ang anumang paghihigpit sa protocol o port na dala ng patakaran. Ang patakarang pinapayagan lamang ang TCP 445 patungo sa file server ay naglalarawan ng mas makitid na set kaysa sa subnet kung saan ito naroon. Kung iiwan mo iyon sa labas ng iyong mga tala, magmumukhang hindi pare-pareho ang resulta ng negosasyon dahil sa mga dahilang hindi mo nakikita.

Baliktarin ang mga label bago ihambing

Ang lokal at malayo ay mga relatibong label. Ang lokal na prefix ng kliyente ay ang malayong saklaw ng gateway, at ang lokal na saklaw ng gateway ay ang malayo ng kliyente. Kaya hindi kailanman nagtutugma ang mga screenshot mula sa dalawang dulo, at ang literal na paghahambing sa mga ito ay ang karaniwang paraan ng pag-aksaya ng isang hapon.

Maaaring pagkitirin ng tumutugon ang alok sa isang katanggap-tanggap na subset sa halip na tanggihan ito. Mas masama ang resultang iyon kaysa sa malinis na kabiguan, dahil kalahati lang ang gumagana. Humingi ng 10.0.0.0/16 kapag pinapayagan ng patakaran ang 10.0.5.0/24, at maaari kang mapunta sa SA anak na sumasaklaw lamang sa /24 na iyon. Isang host ang tumutugon, lahat ng iba ay nahuhulog sa labas, at walang anuman sa kliyente ang nagsasabi nito. Basahin ang mga tinanggap na tagapili, hindi ang mga hiniling, bago magpasya na nagtagumpay ang negosasyon.

Ang mga profile ng road warrior na humihingi ng default na ruta ay dumarating dito nang tuloy-tuloy. Ang gateway na ginawa para sa hatid na access ay nagpapakitid ng alok na buong saklaw patungo sa sarili nitong mga subnet, at kailangang tanggapin ng kliyente ang pakitid na resulta o mabigong malakas.

Basahin ang pagtanggi mula sa isang pagtatangka

Kunin ang dalawang log mula sa parehong pagtatangkang kumonekta. Ang na-save na profile ay nagpapakita ng iyong isinaayos, hindi ang iminungkahi, at sa strongSwan ang swanctl --log ay naglilimbag ng natanggap na abiso kasama ang mga tagapiling dala nito.

Pagkatapos, suriin kung ano talaga ang na-install. Ipinapakita ng swanctl --list-sas ang mga tagapili ng SA anak, at ipinapakita ng ip xfrm policy ang parehong saklaw bilang mga entry ng patakaran ng kernel. Ang SA anak sa listahang iyon na may mga tagapiling hindi mo nilayon ay isang pangyayari ng pagkitid; walang SA anak at may TS_UNACCEPTABLE sa log ay isang pagtanggi.

Habang nandiyan ka, paghiwalayin ang mga malapit na kapitbahay. Nagrereklamo ang INVALID_SELECTORS tungkol sa isang tagapili sa loob ng naitatag na SA anak, samantalang ang INTERNAL_ADDRESS_FAILURE ay nangangahulugang hindi naalokahan ng tumutugon ang isang virtual na address, na problema ng pool at hindi ng saklaw.

Suriin kung ano ang tahimik na nagpapaliit ng set

Tatlong bagay ang nagpapaliit ng set ng tagapili nang walang sinasabi. Ang patakaran ng tumutugon ang una, sa pamamagitan ng mga listahan ng subnet, mga tuntunin ng grupo o awtorisasyon kada user na nagpapababa ng alok sa isang subset. Ang pamilya ng address ang pangalawa: ang kliyenteng may dalawang stack ay madalas na nagmumungkahi ng IPv6 kasabay ng IPv4 at natatanggap ang pagtanggi para sa mga saklaw na hindi kailanman isinaayos ng gateway.

Ang mga paghihigpit sa protocol at port ang pangatlo. Kung saan pinapayagan lamang ng patakaran ang TCP 445, maaaring umangat ang SA anak habang nananatili sa labas ang ICMP at UDP, at iniuulat ng user ang sirang tunnel gayong isang protocol lamang ang pinayagan.

Kaya ang pagpapalawak ng address lamang ay hindi makapag-aayos ng patakarang limitado sa port, at ito mismo ang kaso na malamang na makaligtas nang hindi nagbabago pagkatapos ng tatlong yugto ng pag-aayos.

Patunayan ang saklaw gamit ang trapikong umaangkop

Pagkatapos ma-install ang SA anak, magpadala ng isang kahilingan na tiyak na nahuhulog sa loob ng mga tinanggap na saklaw. Tingnan ang mga counter sa halip na ang icon ng estado: tumataas ang ip -s xfrm state at ang mga counter sa likod ng ip xfrm policy kapag natugma at naprotektahan ang isang packet. Ang bilang ng byte na nananatiling zero pagkatapos ng tunay na trapiko ay nangangahulugang hindi kailanman pinili ng kernel ang patakarang iyon.

Ang zero na iyon ay problema sa ruta o pagkakasunod-sunod ng patakaran, hindi problema sa crypto. Mukha rin itong kapareho ng pagtanggi sa tagapili mula sa upuan ng user, kaya sulit kolektahin ang mga counter bago muling buksan ang profile. Ang mga counter na umaakyat lamang sa isang direksyon ay tumuturo sa daan pabalik.

Tapusin sa pamamagitan ng pagsulat ng tinanggap na pares sa ticket, katabi ng saklaw na orihinal na hiniling. Panatilihing kasikip ng pangangailangan ang pagpili, dahil ang pag-alis ng error sa pamamagitan ng pagpapalit ng pribadong saklaw ng lahat ng address ay nagbibigay ng higit na access kaysa sa inaprubahan para sa account.