IKEv2 TS_UNACCEPTABLE döndürdüğünde gerçek alt ağları karşılaştırın

TS_UNACCEPTABLE'ı bozuk bir profil değil, kapsam anlaşmazlığı olarak okuyun. Ağ geçidi, iki tarafın bu tünelin hangi adresleri taşıyabileceği konusunda anlaşamadığını söylüyor. IKE SA o anda zaten ayakta olabilir, bu yüzden bir istemci arkasında hiç alt SA yokken bağlı görünebilir. Bunu bu şekilde çerçevelediğinizde iş mekanikleşir. İki tarafın amaçladığı önekleri yazın, tek yönde karşılaştırın ve kesişene kadar daraltın.

Önce amaçlanan çiftleri yazın

Yapılandırmaya dokunmadan önce dört değer listeleyin: başlatanın kaynak aralığı, hedef aralığı ve aynı çiftin yanıtlayan tarafından görünüşü. Her birinin adres ailesini de kaydedin. IPv4 aralığı ile IPv6 aralığı farklı seçici türleridir ve hiçbiri diğerinin yüküne katlanamaz.

Politikanın taşıdığı her protokol veya bağlantı noktası kısıtını ekleyin. Bir dosya sunucusuna yalnızca TCP 445'e izin veren kural, bulunduğu alt ağdan daha dar bir küme tanımlar. Bunu notlarınızdan çıkarırsanız, görüşmenin sonucu görmediğiniz nedenlerle tutarsız görünecektir.

Etiketleri karşılaştırmadan önce ters çevirin

Yerel ve uzak göreli etiketlerdir. İstemcinin yerel öneki ağ geçidinin uzak aralığıdır ve ağ geçidinin yerel aralığı istemcinin uzak aralığıdır. Bu yüzden iki uçtan alınan ekran görüntüleri hiçbir zaman örtüşmez ve bunları harfiyen karşılaştırmak bir öğleden sonrayı kaybetmenin olağan yoludur.

Yanıtlayan, teklifi reddetmek yerine kabul edilebilir bir alt kümeye daraltabilir. Bu sonuç temiz bir başarısızlıktan daha kötüdür, çünkü yarı yarıya çalışır. Politika 10.0.5.0/24'e izin verirken 10.0.0.0/16 isteyin; yalnızca o /24'ü kapsayan bir alt SA ile kalabilirsiniz. Bir ana bilgisayar yanıt verir, geri kalan her şey dışarıda kalır ve istemcide hiçbir şey bunu söylemez. Görüşmenin başarılı olduğu sonucuna varmadan önce istenen değil, kabul edilen seçicileri okuyun.

Varsayılan rota isteyen road warrior profilleri buraya sürekli düşer. Bölünmüş erişim için kurulmuş bir ağ geçidi, tam aralıklı teklifi kendi alt ağlarına daraltır ve istemci daraltılmış sonucu kabul etmeli ya da yüksek sesle başarısız olmalıdır.

Reti tek bir denemeden okuyun

Aynı bağlantı denemesinden iki günlüğü de toplayın. Kaydedilmiş profil neyi yapılandırdığınızı gösterir, neyin önerildiğini değil; strongSwan'da swanctl --log alınan bildirimi taşıdığı seçicilerle birlikte yazdırır.

Ardından gerçekte ne kurulduğunu inceleyin. swanctl --list-sas alt SA'nın seçicilerini gösterir, ip xfrm policy aynı aralıkları çekirdek politikası girdileri olarak gösterir. O listede amaçlamadığınız seçicilere sahip bir alt SA bir daralma olayıdır; günlükte alt SA olmadan TS_UNACCEPTABLE olması ise bir reddir.

Oradayken yakın komşuları ayırın. INVALID_SELECTORS kurulmuş bir alt SA'nın içindeki seçiciden şikâyet eder, INTERNAL_ADDRESS_FAILURE ise yanıtlayanın sanal adres ayıramadığı anlamına gelir, bu kapsam değil havuz sorunudur.

Kümeyi sessizce neyin küçülttüğünü kontrol edin

Üç şey hiçbir şey söylemeden seçici kümesini küçültür. Birincisi yanıtlayanın politikasıdır; alt ağ listeleri, grup kuralları veya kullanıcı başına yetkilendirme teklifi bir alt kümeye indirir. İkincisi adres ailesidir: çift yığınlı bir istemci sıklıkla IPv4'ün yanında IPv6 önerir ve ağ geçidinin hiç yapılandırmadığı aralıklar için ret alır.

Üçüncüsü protokol ve bağlantı noktası kısıtlarıdır. Politika yalnızca TCP 445'e izin verdiğinde, ICMP ve UDP dışarıda kalırken bir alt SA yükselebilir ve kullanıcı yalnızca tek bir protokole izin verilmişken tünelin bozulduğunu bildirir.

Bu nedenle yalnızca adresleri genişletmek bağlantı noktasıyla sınırlı bir politikayı düzeltemez ve tam olarak bu durum üç tur sorun gidermeden sonra değişmeden kalma olasılığı en yüksek olan durumdur.

Kapsamı uygun trafikle kanıtlayın

Alt SA kurulduktan sonra, kabul edilen aralıkların kesinlikle içine düşen bir istek gönderin. Durum simgesi yerine sayaçlara bakın: bir paket eşleştirilip korunduğunda ip -s xfrm state ve ip xfrm policy arkasındaki sayaçlar artar. Gerçek trafikten sonra sıfırda kalan bayt sayısı, çekirdeğin o politikayı hiç seçmediği anlamına gelir.

O sıfır bir yönlendirme veya politika sırası sorunudur, kripto sorunu değildir. Kullanıcının yerinden bakıldığında tam olarak bir seçici reddi gibi görünür, bu yüzden profili yeniden açmadan önce sayaçları toplamaya değer. Yalnızca tek yönde artan sayaçlar bunun yerine dönüş yolunu işaret eder.

Kabul edilen çifti, başlangıçta istenen aralığın yanına bilete yazarak bitirin. Seçimi gereksinim kadar dar tutun, çünkü özel bir aralığı tüm adreslerle değiştirerek hatayı silmek, hesap için onaylanandan çok daha fazla erişim verir.