IKE'de MAC uyuşmazlığı, paylaşılan anahtar denetiminin başarısız olduğu anlamına gelir

Cloud VPN günlüğünüz paylaşılan anahtar denemesini ve ardından MAC uyuşmazlığı iletisini gösteriyor; ilk tepki genellikle adres sorunu aramak olur. Bu kolda MAC bir ileti kimlik doğrulama kodudur: anlaşılan anahtarla yapılan değişim üzerinden hesaplanan bir değer. Eş, kendi hesaplamasını aldığı değerle karşılaştırdı ve ikisi farklıydı. Burada ağ kartı yok ve hiçbir arayüz ayarı bu karşılaştırmayı değiştirmez.

Bunu pratikte iki koşul üretir: iki uçtaki sırlar aynı değer değildir ya da sırrı seçmek için kullanılan kimlikler birbirine karşılık gelmez. Hangisi olduğuna tek tüneli değil, çifti okuyarak karar verin.

Bu aşama neyi kanıtlar

Denetim, iki taraf da başlangıç parametrelerini paylaşıp kendilerini tanıttıktan sonra çalışır. Yerel ve uzak kimlikler için aday anahtarlar seçer ve alınan kimlik doğrulama verisini doğrulamaya çalışır; hiçbiri doğrulanmazsa tanılama yayımlanır. Bu, kimlik doğrulama hakkında güçlü, neden hakkında zayıf bir ifadedir, çünkü hangi tarafın yanlış olduğunu söylemez.

Önceki başarı bu denetime taşınmaz. Tamamlanmış bir IKE_SA_INIT ya da beklenen değerleri döndüren bir NAT algılama yükü, eşlerin konuşabildiğini kanıtlar. Bir sırrı paylaşıp paylaşmadıklarına dair hiçbir şey kanıtlamaz.

İki yapılandırma hatası, tek ileti

Birincisi gerçek bir sır uyuşmazlığıdır ve genellikle bir hazırlama kazasıdır: bir konsolda kurulan üretilmiş değerin diğerinde yeniden yazılması, bir tarafta hayatta kalan sondaki karakter veya bir yapıştırmayla gelen tırnak işareti. İkincisi bir kimlik uyuşmazlığıdır; sır doğrudur ama eşin sunduğu kimlik başka bir kaydı seçer, böylece doğru sır hiç denenmez. İkisi de aynı satırı üretir, bu yüzden tahmin etmek bir öğleden sonraya mal olur.

Sırlardan birine dokunmadan önce çifti karşılaştırın. Tüneli, eşin uç noktasını, zaman penceresini ve uzak yapılandırmayı eşleştirin, çünkü iki yedekli tünel farklı sırlar taşıyabilir ve önünüzdeki ekran başarısız olan tünel olmayabilir.

NAT algılama farklı bir aşamadır

NAT algılama paketlerin nasıl yeniden yazıldığını sorar, eşin kim olduğunu değil. NAT arkasındaki bir müşteri ağ geçidi, yapılandırılmış kimlik eşin beklediği kimlik olduğunda yine doğru kimlik doğrulaması yapar; NAT sorunu ise başarısız bir kimlik doğrulama karşılaştırması olarak değil, teklif veya bağlantı noktası uyuşmazlığı olarak görünür.

Bir tedarikçi sürümü hakkındaki eski bir ifadeyi güncel bir dağıtıma taşımayın. Sürümünüzde NAT geçişinin ne gerektirdiği kendi belgelerine aittir ve MAC uyuşmazlığı ifadesi bunun lehine ya da aleyhine kanıt değildir.

Ekranı değil, çifti temel alarak karar verin

İki yapılandırmayı sır gizlenmiş halde yan yana okuyun ve ardından üç soru sorun. Her taraftaki kimlik, diğerinin beklediği şeyin tam olarak kendisi mi, karakter karakter? İki uç aynı IKE sürümünü ve aynı kimlik doğrulama yöntemini mi kullanıyor? Başarısız tünel, okuduğunuz yapılandırmaya karşılık geliyor mu? Bunlardan herhangi birine hayır yanıtı, sırra dokunmadan onarımı belirler.

Üçü de temizse, sırrı etrafından dolaşmak yerine onaylı iş akışıyla değiştirin.

Eş kimlik doğrulaması yaptıktan sonra

Kimlik doğrulama başarılı olduğunda, sonraki arıza yüzeyi alt güvenlik ilişkisidir: teklifler ve trafik seçicileri. Zaten kabul edilmiş bir sırrı döndürmek alt ilişki arızasını düzeltemez ve kesintiyi uzatır. Önce alt ilişkinin durumunu, sonra iki taraftaki seçicileri ve korunan aralıkları okuyun; Cloud VPN sorun giderme yönergesini gerçekten başarısız olan aşamayla eşleştirin.

Her iki uçtan taze günlükleri ilişkilendirin aynı çift ve aynı pencere için. Tek taraf, diğer tarafın girdisi olmadan bir hüküm verir; iletiyi baştan yaratan belirsizlik de tam olarak budur.

Neye varılmamalı

İletiyi MAC adreslerini değiştirme talebi olarak okumayın ve yardım isterken paylaşılan sırrı yayımlamayın; anahtarı içeren bir alıntıda anahtarın çıkarılması gerekir, günlüğün saklanması değil. Yönlendirme arızası da varsaymayın, çünkü birbirine ulaşamayan eşler hiçbir kimlik doğrulama karşılaştırması üretmez. Ve bir ürün ailesinin belgelenmiş sınırlamasını her IPsec uygulamasına genellemeyin.

Başarısız çifti, tünelin önceki ve sonraki durumunu ve iki koşuldan hangisini değiştirdiğinizi kaydedin. Bu kayıt, bir sonraki olayı beş dakikalık bir denetime dönüştürür.