П'ять ролей адреси в профілі IPsec, і яка з них неправильна
Кінцева точка, ідентичність, захищена підмережа, джерело шлюзу та наступний перехід відповідають кожен на інше питання. Спершу зіставте симптом із полем.
П'ять різних завдань отримують адресу в типовому описі з'єднання, і вони не мусять збігатися між собою. Адміністратори застрягають, бо розумний інстинкт — скерувати всі поля на той самий хост — хибний щонайменше для трьох із них. Вихід — спершу назвати симптом, а потім поглянути на одне чи два поля, які могли його спричинити.
П'ять завдань, у порядку важливості
Кінцева точка транспорту — це місце, куди доставляється обмін IKE. Автентифікована ідентичність — це ім'я, яке доводить кожна сторона, і воно перевіряється за політикою, а не за таблицею маршрутизації. Захищені підмережі — це селектори, які вирішують, який внутрішній трафік належить тунелю. Далі йде джерело, яке використовується, коли сам шлюз починає розмову, і нарешті наступний перехід нижнього рівня для досягнення партнера.
Позначки учасників на кшталт left і right — це домовленості для двох сторін з'єднання, а не синоніми локального й віддаленого. Прочитайте посібник тієї реалізації, яка справді встановлена, перш ніж припускати, що ключ означає те, що мав на увазі інший продукт.
| Job | Typical key | What fails when it is wrong |
|---|---|---|
| Transport endpoint | left, right | No IKE exchange at all |
| Authenticated identity | leftid, rightid | Exchange starts, peer rejects it |
| Protected subnets | leftsubnet, rightsubnet | Tunnel up, traffic not selected |
| Gateway source | leftsourceip, rightsourceip | Only gateway-originated flows fail |
| Underlay next hop | leftnexthop, rightnexthop | Peer unreachable from this host only |
Рішення перше: нічого не встановлюється
Коли в журналах узагалі не з'являється обміну, кінцева точка — перший підозрюваний: хибна адреса, відфільтрований шлях або інтерфейс, на якому демон не слухає. Переходьте до полів ідентичності лише після того, як стане видно рукостискання, бо ідентичність оцінюють усередині обміну, а не до нього. Відфільтрований шлях і хибна адреса виглядають з боку клієнта однаково, тож перевірте слухаючий бік, перш ніж щось редагувати. Підтвердьте, що демон прив'язаний до очікуваного інтерфейсу, бо служба, яка слухає на одній адресі, виглядає точно як заблокований шлях.
Публічна адреса, спостережена через трансляцію, — це не те саме, що ідентичність, яку доводить партнер. Змінювати адресу, щоб вона збігалася з тим, що показує перехоплення пакетів на далекому кінці, — поширена й хибна правка.
Рішення друге: тунель піднято, а трафік помирає
Селектори вирішують, що потрапляє в тунель, і невідповідність тут дає з'єднання, яке успішно домовляється, поки застосунок усе ще зазнає невдачі. Далека сторона мусить назвати ваш захищений діапазон своїм віддаленим діапазоном, і саме там проникають перевернуті значення.
Прочитайте обидві конфігурації поруч, перш ніж редагувати. Локальний діапазон на одному хості — це віддалений діапазон на іншому, і одна переплутана пара пояснює тунель, який нічого не переносить. Звужте пару, перш ніж торкатися ключів: одна підмережа всередині тунелю й одна ззовні скажуть, чи винний селектор, чи маршрутизація.
Рішення третє: відмовляє лише власний трафік шлюзу
Трафік, що пересилається для клієнтів, може працювати бездоганно, поки запит, який шлюз починає сам, зазнає невдачі, бо в цього потоку немає клієнтського джерела, яке можна успадкувати. Налаштування бажаного джерела існує саме для цього випадку, і це не трансляція джерела: воно вибирає адресу джерела, а не переписує її.
Застосунок, який явно прив'язує іншу адресу, може переважити налаштування, тож підтвердьте фактичне джерело пакета, перш ніж доходити висновку, що налаштування ігнорується. Знімайте на власному інтерфейсі шлюзу, а не покладайтеся на задум конфігурації.
Наступний перехід — локальна інструкція
Наступний перехід нижнього рівня каже цьому хосту, як досягти партнера, а далекій стороні не потрібне те саме значення. Ставлення до нього як до спільного налаштування або жорстке кодування шлюзу за замовчуванням ламається тієї миті, коли маршрут змінюється або з'являється другий шлях.
Деякі реалізації пропонують тут особливі значення. Те, що посібник перелічує для встановленої версії, — єдина безпечна відповідь, а локальна таблиця маршрутизації є доказом, що це спрацювало. Коли партнер доступний за іменем, але не за адресою, ця невідповідність і є знахідкою, а не подробицею, яку треба обійти.
Читайте профіль з обох кінців
Перевернути ролі на папері — найшвидша перевірка з можливих: поміняйте захищені діапазони, збережіть власний наступний перехід кожної сторони й власну ідентичність кожної сторони. Усе, що не витримує перестановки, ймовірно, призначене не тому завданню.
Потім перевірте по одному потоку на роль: доступність між партнерами, внутрішній клієнтський потік і запит, що походить від шлюзу. Три тести скажуть, яке завдання призначено неправильно, без повторного відкриття конфігурації. Додайте результат у заявку поруч із полем, яке ви змінили, бо наступний інженер зустріне той самий профіль.