IPsec profilidagi beshta manzil roli va qaysi biri noto'g'ri
Yakuniy nuqta, shaxs, himoyalangan quyi tarmoq, shlyuz manbasi va keyingi sakrash har biri boshqa savolga javob beradi. Avval simptomni maydon bilan moslashtiring.
Odatiy ulanish ta'rifida besh xil vazifa manzil oladi va ular bir-biriga mos kelishi shart emas. Administratorlar tiqilib qoladi, chunki barcha maydonlarni bir xil xostga yo'naltirish degan oqilona instinkt ularning kamida uchtasi uchun noto'g'ri. Chiqish yo'li — avval simptomni nomlash, so'ngra uni keltirib chiqarishi mumkin bo'lgan bir yoki ikkita maydonga qarash.
Beshta vazifa, muhimlik tartibida
Transport yakuniy nuqtasi — IKE almashinuvi yetkaziladigan joy. Autentifikatsiya qilingan shaxs — har bir tomon isbotlaydigan nom, va u yo'llash jadvaliga emas, siyosatga qarab tekshiriladi. Himoyalangan quyi tarmoqlar qaysi ichki trafik tunnelga tegishli ekanini hal qiluvchi selektorlardir. So'ngra shlyuzning o'zi suhbat boshlaganda ishlatiladigan manba, va nihoyat hamkoriga yetish uchun pastki qatlamning keyingi sakrashi bor.
left va right kabi ishtirokchi yorliqlari ulanishning ikki tomoni uchun konvensiyalar, mahalliy va uzoqning sinonimi emas. Kalit boshqa mahsulot u bilan nazarda tutgan ma'noni bildiradi deb o'ylashdan oldin haqiqatda o'rnatilgan amalga oshirish qo'llanmasini o'qing.
| Job | Typical key | What fails when it is wrong |
|---|---|---|
| Transport endpoint | left, right | No IKE exchange at all |
| Authenticated identity | leftid, rightid | Exchange starts, peer rejects it |
| Protected subnets | leftsubnet, rightsubnet | Tunnel up, traffic not selected |
| Gateway source | leftsourceip, rightsourceip | Only gateway-originated flows fail |
| Underlay next hop | leftnexthop, rightnexthop | Peer unreachable from this host only |
Birinchi qaror: hech narsa o'rnatilmaydi
Jurnallarda umuman almashinuv ko'rinmasa, yakuniy nuqta birinchi gumondor: noto'g'ri manzil, filtrlangan yo'l yoki demon tinglamayotgan interfeys. Shaxs maydonlariga faqat qo'l siqish ko'ringandan keyin o'ting, chunki shaxs almashinuv ichida baholanadi, undan oldin emas. Filtrlangan yo'l va noto'g'ri manzil mijoz tomondan bir xil ko'rinadi, shuning uchun biror narsani tahrirlashdan oldin tinglayotgan tomonni tekshiring. Demon kutilgan interfeysga bog'langanini tasdiqlang, chunki bitta manzilda tinglayotgan xizmat bloklangan yo'lga xuddi o'xshab ko'rinadi.
Tarjima orqali kuzatilgan ommaviy manzil hamkor isbotlaydigan shaxs bilan bir xil narsa emas. Uzoq uchida paket tutishi ko'rsatgan narsaga moslashtirish uchun manzilni o'zgartirish keng tarqalgan va noto'g'ri tuzatishdir.
Ikkinchi qaror: tunnel ko'tarilgan, trafik esa o'lmoqda
Selektorlar tunnelga nima kirishini hal qiladi va bu yerdagi nomuvofiqlik muvaffaqiyatli muzokara qiladigan, ammo dastur baribir ishlamaydigan ulanishni keltirib chiqaradi. Uzoq tomon sizning himoyalangan diapazoningizni o'zining uzoq diapazoni deb nomlashi kerak, va aynan o'sha yerda teskari qiymatlar sizib kiradi.
Tahrirlashdan oldin ikkala konfiguratsiyani yonma-yon o'qing. Bir xostdagi mahalliy diapazon boshqasidagi uzoq diapazon, va bitta almashtirilgan juftlik hech narsa tashimaydigan tunnelni tushuntiradi. Kalitlarga tegishdan oldin juftlikni toraytiring: tunnel ichida bitta quyi tarmoq va tashqarida bittasi ayb selektorda yoki yo'llashda ekanini aytadi.
Uchinchi qaror: faqat shlyuzning o'z trafigi ishlamaydi
Mijozlar uchun uzatiladigan trafik benuqson ishlashi mumkin, ammo shlyuzning o'zi boshlagan so'rov ishlamaydi, chunki bu oqimda meros oladigan mijoz manbasi yo'q. Afzal manba sozlamasi aynan shu holat uchun mavjud va bu manba tarjimasi emas: qayta yozish o'rniga manba manzilini tanlaydi.
Boshqa manzilni aniq bog'laydigan dastur afzallikdan ustun kelishi mumkin, shuning uchun sozlama e'tiborsiz qoldirilgan degan xulosaga kelishdan oldin paketning haqiqiy manbasini tasdiqlang. Konfiguratsiya niyatiga ishonish o'rniga shlyuzning o'z interfeysida tuting.
Keyingi sakrash mahalliy ko'rsatma
Pastki qatlamning keyingi sakrashi bu xostga hamkoriga qanday yetishni aytadi, uzoq tomonga esa o'sha qiymat kerak emas. Unga umumiy sozlama sifatida qarash yoki standart shlyuzni qattiq kodlash yo'l o'zgarganda yoki ikkinchi yo'l paydo bo'lganda buziladi.
Ba'zi amalga oshirishlar bu yerda maxsus qiymatlar taklif qiladi. Qo'llanma o'rnatilgan versiya uchun sanab o'tgan narsa yagona xavfsiz javob, mahalliy yo'llash jadvali esa uning ishlaganligiga dalil. Hamkor nomi bilan yetib borilsa-yu manzili bilan yetib borilmasa, o'sha nomuvofiqlik topilma hisoblanadi, chetlab o'tiladigan mayda detal emas.
Profilni ikki chetdan o'qing
Rollarni qog'ozda teskari qilish mavjud eng tez ko'rik: himoyalangan diapazonlarni almashtiring, har bir tomonning o'z keyingi sakrashini va har bir tomonning o'z shaxsini saqlang. Almashtirishga chidamagan narsa, ehtimol, noto'g'ri vazifaga tayinlangan.
So'ngra har bir rol uchun bitta oqimni sinab ko'ring: hamkorlar orasidagi yetib borish, ichki mijoz oqimi va shlyuzdan kelib chiqqan so'rov. Uchta sinov konfiguratsiyani qayta ochmasdan qaysi vazifa noto'g'ri tayinlanganini aytadi. Natijani o'zgartirgan maydoningiz yoniga chiptaga qo'shing, chunki keyingi muhandis o'sha profilga duch keladi.