Papasok na IPsec peer na hindi tumutugma sa alinmang profile? Suriin ang apat na field

Iniulat ng iyong peer na nakataas ang tunnel, walang ipinapakitang seguridad na asosasyon ang iyong panig, at malinaw na may tumutugmang pangalan ng koneksyon sa configuration file. Ang tatlong pahayag ay maaaring totoo nang sabay. Ang papasok na negosasyon ay itinatapat sa tumatakbong configuration, gamit ang address ng peer, ang pagkakakilanlang ipinapakita nito at ang trapikong ipinapanukala nito. Isang file sa disk na hindi kailanman na-load, isang pagkakakilanlang hindi tumutugma sa inaasahang halaga, o isang pares ng selector na ligaw nang isang prefix — bawat isa ay gumagawa ng katahimikan. Tahakin ang apat na pangkat ng field sa pagkakasunod-sunod na sinusunod ng responder.

Magsimula sa packet, hindi sa file

Tumatanggap ang responder ng kahilingang IKE, naghahanap ng depinisyong makakatanggap sa peer na ito, at pagkatapos ay nagpapatuloy sa pagpapatotoo at pagpili ng trapiko. Kung sa unang hakbang ay walang tumutugmang na-load na depinisyon, nagtatapos ang negosasyon bago makarating sa gumagamit ang anumang kapaki-pakinabang na error.

Kaya ang “mukhang tama ang configuration” ay hindi ebidensya. Ang tanong ay kung ano ang na-load ng tumatakbong serbisyo at aling entry ang pinili nito para sa pagtatangkang ito. Ang listahan ng estado ay sumasagot niyan sa isang utos, samantalang ang buffer ng editor ay sumasagot sa ibang tanong. Suriin ang listahan bago mo muling baguhin ang file.

Unang pangkat ng field: ang depinisyong talagang na-load

Suriin ang tumatakbong estado gamit ang tool na nagmamay-ari ng daemon: isang utos ng estado na naglilista ng mga na-load na koneksyon, hindi ang buffer ng editor. Tiyakin na naroon ang inaasahang entry, naka-enable para sa nais mong pag-uugali sa pagsisimula, at na-load pagkatapos ng iyong huling pag-edit. Ang na-save ngunit hindi na-reload na file ang pinakakaraniwang dahilan ng “inayos ko ito at walang nagbago”.

Tiyakin din kung aling file ang binabasa ng serbisyo. Nagkakaiba ang mga distribusyon, at ang koneksyong nakasulat sa maling include ay tahimik na binabalewala sa halip na tinatanggihan. Kung hindi talaga ipinapakita ng listahan ng estado ang iyong entry, hinala ang landas ng include bago ang sintaks.

Ikalawang pangkat ng field: ang mga endpoint ay hindi pagkakakilanlan

Ang address na pinag-uugnayan ng peer at ang pagkakakilanlang ginagamit nito sa pagpapatotoo ay magkahiwalay na field. Isang pangalan ng host, isang natatanging pangalan, isang ID ng susi at isang address ay maaaring lahat maging pagkakakilanlang IKE depende sa configuration, at hindi kailangang kamukha ng pampublikong address.

Ang pagtutugma ng endpoint ay maaaring may kasamang pananaw sa NAT: ang address na nakikita sa network ay maaaring iba sa address na inaakala ng peer na mayroon ito. Sa modelong koneksyon ng libreswan, ang left at right ay mga label para sa dalawang kalahok at hindi isang takdang pagkakasunod-sunod ng lokal at malayo, kaya ang pagkopya ng gumaganang configuration mula sa ibang site at pagpapalit ng mga address ay hindi mapagkakatiwalaang salin.

Isulat ang inaasahang pagkakakilanlan ng magkabilang panig at ang kredensyal na nagpapatunay nito. Kung hindi magtugma ang dalawang linyang iyon, walang dami ng pagsasaayos ng address ang magbubunga ng tugma.

Ikatlong pangkat ng field: ang trapikong pinoprotektahan

Inilalarawan ng mga selector ang panloob na saklaw ng pinagmulan at destinasyon, ang kanilang pamilya ng address at anumang paghihigpit sa protokol o port. Ang panukala para sa address ng isang host ay hindi ang parehong kahilingan gaya ng para sa buong subnet, at ang responder na naka-configure para sa subnet ay maaaring tumanggi o magpaliit nito.

Kapag hindi nagtutugma ang dalawang dulo, ihambing ang inaasahang daloy mula sa dalawang pananaw sa halip na palawakin ang bawat selector para may kumonekta. Tanungin ang bawat administrator kung aling daloy ang inaakala niyang pinoprotektahan, pagkatapos ay ihambing ang dalawang sagot. Ang pagkakaiba ay karaniwang prefix ng host sa isang panig at subnet sa kabila. Ang tunnel na tumutugma dahil pinoprotektahan na nito ang lahat ay ibang desisyon sa seguridad, at isang walang sinumang umaprubahan.

Ikaapat na pangkat ng field: nagbabasa ka ng isang implementasyon

Ang Libreswan, lumang Openswan at strongSwan ay may iba't ibang tool sa pamamahala, iba't ibang sintaks ng configuration at iba't ibang pagkakasunod-sunod ng pagtutugma. Ang gumaganang halimbawa mula sa isa ay walang sinasabing tumpak tungkol sa priyoridad ng pagpili ng profile o sa pananalita ng error ng isa pa, kaya tiyakin gamit ang dokumentasyon ng daemon sa host na ito.

Ugnayin ang isang pagtatangka mula simula hanggang wakas: ang source address ng nagpasimula, ang iniaalok na pagkakakilanlan at ang mga iminungkahing selector — laban sa mensahe ng pagpili ng responder at sa na-load na entry na pinangalanan nito. Ang mga counter ng encapsulation at decapsulation na sero ay nagsasabi lamang na hindi dinala ng mga naobserbahang asosasyon ang mga packet na iyon; hindi nila pinangalanan ang endpoint na tumanggi sa panukala at hindi nila pinatutunayan na may tumutugmang entry sa sandaling iyon.

Pagkatapos ng magkatuwang na pagwawasto, tiyakin ang napiling profile at asosasyon, pagkatapos ay subukan ang serbisyong tunay na pinapayagan at ang landas ng sagot nito. Ang pagtutugma ng profile ay nagbibigay-daan sa negosasyon, at ang negosasyon ay hindi ang huling pagsusuri ng pag-access.