Gelen IPsec eşi hiçbir profille eşleşmiyor mu? Dört alanı denetleyin

Eşiniz tünelin ayakta olduğunu bildiriyor, sizin tarafınız hiçbir güvenlik ilişkisi göstermiyor ve yapılandırma dosyası açıkça eşleşen bir bağlantı adı içeriyor. Bu üç ifade aynı anda doğru olabilir. Gelen bir müzakere, çalışan yapılandırmayla eşin adresi, sunduğu kimlik ve önerdiği trafik temelinde eşleştirilir. Hiç yüklenmemiş bir disk dosyası, beklenen değerle eşleşmeyen bir kimlik ya da bir önek kaymış bir seçici çifti — her biri sessizlik üretir. Dört alan grubunu yanıtlayıcının izlediği sırayla geçin.

Dosyadan değil paketten başlayın

Yanıtlayıcı bir IKE isteği alır, bu eşi kabul edebilecek bir tanım arar ve ardından kimlik doğrulama ile trafik seçimine geçer. İlk adımda yüklenmiş hiçbir tanım eşleşmezse, müzakere kullanıcıya yararlı bir hata ulaşmadan sona erer.

Bu yüzden “yapılandırma doğru görünüyor” bir kanıt değildir. Soru, çalışan hizmetin neyi yüklediği ve bu deneme için hangi kaydı seçtiğidir. Bir durum listesi bunu tek komutla yanıtlar, düzenleyicinin tamponu ise başka bir soruya yanıt verir. Dosyayı yeniden değiştirmeden önce listeyi denetleyin.

Birinci alan grubu: gerçekten yüklenmiş tanım

Çalışan durumu daemonu sahiplenen araçla denetleyin: yüklenmiş bağlantıları listeleyen bir durum komutu, düzenleyicinin tamponu değil. Beklediğiniz kaydın var olduğunu, istediğiniz başlangıç davranışı için etkin olduğunu ve son düzenlemenizden sonra yüklendiğini doğrulayın. Kaydedilip yeniden yüklenmemiş bir dosya, “düzelttim ama hiçbir şey değişmedi” sözünün en yaygın nedenidir.

Hizmetin hangi dosyayı okuduğunu da doğrulayın. Dağıtımlar farklıdır ve yanlış include dosyasına yazılan bir bağlantı reddedilmek yerine sessizce yok sayılır. Durum listesi kaydınızı hiç göstermiyorsa, sözdiziminden önce include yolundan şüphelenin.

İkinci alan grubu: uç noktalar kimlik değildir

Eşin bağlandığı adres ile kimlik doğrulamada kullandığı kimlik ayrı alanlardır. Bir ana bilgisayar adı, ayırt edici bir ad, bir anahtar kimliği ve bir adres yapılandırmaya bağlı olarak IKE kimliği olarak hizmet edebilir ve genel adrese hiç benzemek zorunda değildir.

Uç nokta eşleştirmesi bir NAT görünümünü de içerebilir: ağda görülen adres, eşin sahip olduğunu sandığı adresten farklı olabilir. libreswan'ın bağlantı modelinde left ve right iki katılımcının etiketleridir, sabit bir yerel ve uzak sırası değildir; bu yüzden çalışan bir yapılandırmayı başka bir sahadan kopyalayıp adresleri değiştirmek güvenilir bir çeviri değildir.

Her iki tarafın beklenen kimliğini ve onu doğrulayan kanıtı yazın. Bu iki satır uyuşmazsa, hiçbir adres ayarı eşleşme üretmez.

Üçüncü alan grubu: korunan trafik

Seçiciler iç kaynak ve hedef aralıklarını, bunların adres ailesini ve herhangi bir protokol veya bağlantı noktası kısıtını tanımlar. Tek bir ana bilgisayar adresi için öneri, tüm bir alt ağ için olan istek ile aynı değildir ve alt ağ için yapılandırılmış bir yanıtlayıcı bunu reddedebilir veya daraltabilir.

İki uç uyuşmadığında, bir şeyin bağlanması için her seçiciyi genişletmek yerine amaçlanan akışı iki bakış açısından karşılaştırın. Her yöneticiye koruduğunu düşündüğü akışı sorun, sonra iki yanıtı karşılaştırın. Uyuşmazlık genellikle bir tarafta ana bilgisayar öneki, diğerinde alt ağdır. Artık her şeyi koruduğu için eşleşen bir tünel başka bir güvenlik kararıdır ve kimsenin onaylamadığı bir karardır.

Dördüncü alan grubu: tek bir uygulama okuyorsunuz

Libreswan, eski Openswan ve strongSwan farklı yönetim araçlarına, farklı yapılandırma sözdizimine ve farklı eşleştirme sırasına sahiptir. Birinin çalışan örneği, diğerinin profil seçim önceliği veya hata ifadesi hakkında kesin hiçbir şey söylemez, bu yüzden bu ana bilgisayardaki daemonun belgeleriyle doğrulayın.

Bir denemeyi baştan sona ilişkilendirin: başlatıcının kaynak adresi, sunulan kimlik ve önerilen seçiciler — yanıtlayıcının seçim iletisi ve adını verdiği yüklenmiş kayıtla karşılaştırıldığında. Sıfır kapsülleme ve kapsülden çıkarma sayaçları yalnızca gözlenen ilişkilerin bu paketleri taşımadığını söyler; öneriyi reddeden uç noktayı adlandırmaz ve o anda eşleşen bir kaydın var olduğunu kanıtlamaz.

Eşgüdümlü bir düzeltmeden sonra seçilen profili ve ilişkiyi doğrulayın, ardından gerçekten izin verilen hizmeti ve yanıt yolunu sınayın. Profil eşleşmesi müzakereyi mümkün kılar ve müzakere son erişim denetimi değildir.