IKEv2 TS_UNACCEPTABLE qaytarganda, haqiqiy quyi tarmoqlarni solishtiring

TS_UNACCEPTABLE'ni buzilgan profil emas, qamrov bo'yicha kelishmovchilik deb o'qing. Shlyuz ikki tomon bu tunnel qaysi manzillarni tashiy olishi borasida kelisha olmaganini aytmoqda. O'sha lahzada IKE SA allaqachon ko'tarilgan bo'lishi mumkin, shuning uchun mijoz orqasida hech qanday bola SA bo'lmasa ham ulangan ko'rinishi mumkin. Shunday ramkalasangiz, ish mexanik bo'lib qoladi. Ikki tomonning ko'zda tutilgan prefikslarini yozing, ularni bir yo'nalishda solishtiring va kesishguncha toraytiring.

Avval ko'zda tutilgan juftlarni yozing

Konfiguratsiyaga tegishdan oldin to'rt qiymatni sanang: boshlovchining manba diapazoni, uning manzil diapazoni va o'sha juftning javob beruvchi tomondan ko'rinishi. Har birining manzil oilasini ham yozib qo'ying. IPv4 diapazoni va IPv6 diapazoni har xil selektor turlari bo'lib, hech birini ikkinchisining foydali yukiga buklab bo'lmaydi.

Siyosat olib yurgan har qanday protokol yoki port cheklovini qo'shing. Faqat TCP 445 ga fayl serveriga ruxsat beruvchi qoida, u joylashgan quyi tarmoqdan torroq to'plamni tavsiflaydi. Buni yozuvlaringizdan tashqarida qoldirsangiz, muzokara natijasi siz ko'rmaydigan sabablarga ko'ra nomuvofiq ko'rinadi.

Solishtirishdan oldin belgilarni almashtiring

Lokal va masofaviy nisbiy belgilardir. Mijozning lokal prefiksi shlyuzning masofaviy diapazoni, shlyuzning lokal diapazoni esa mijozning masofaviy diapazonidir. Shuning uchun ikki chetdan olingan ekran suratlari hech qachon mos kelmaydi va ularni so'zma-so'z solishtirish tushdan keyin vaqtni yo'qotishning odatiy usuli.

Javob beruvchi taklifni rad etish o'rniga uni maqbul quyi to'plamga toraytirishi mumkin. Bu natija toza muvaffaqiyatsizlikdan yomonroq, chunki u yarim ishlaydi. Siyosat 10.0.5.0/24 ga ruxsat berganda 10.0.0.0/16 so'rang, va faqat o'sha /24 ni qamrab oluvchi bola SA bilan qolishingiz mumkin. Bitta xost javob beradi, qolgan hammasi tashqarida qoladi va mijozda hech narsa buni aytmaydi. Muzokara muvaffaqiyatli bo'ldi degan xulosaga kelishdan oldin so'ralgan emas, qabul qilingan selektorlarni o'qing.

Standart marshrutni so'raydigan road warrior profillari bu yerga doim tushadi. Bo'lingan kirish uchun qurilgan shlyuz to'liq diapazonli taklifni o'z quyi tarmoqlariga toraytiradi va mijoz toraytirilgan natijani qabul qilishi yoki baland ovozda muvaffaqiyatsiz bo'lishi kerak.

Rad etishni bitta urinishdan o'qing

Bir xil ulanish urinishidan ikkala jurnalni ham to'plang. Saqlangan profil nima sozlanganingizni ko'rsatadi, nima taklif qilinganini emas, strongSwan da swanctl --log olingan bildirishnomani u olib yurgan selektorlar bilan chop etadi.

Keyin aslida nima o'rnatilganini tekshiring. swanctl --list-sas bola SA selektorlarini ko'rsatadi, ip xfrm policy o'sha diapazonlarni yadro siyosati yozuvlari sifatida ko'rsatadi. O'sha ro'yxatda siz ko'zda tutmagan selektorli bola SA torayish hodisasidir; jurnalda bola SA bo'lmasdan TS_UNACCEPTABLE bo'lishi rad etishdir.

U yerda bo'lganingizda yaqin qo'shnilarni ajrating. INVALID_SELECTORS o'rnatilgan bola SA ichidagi selektordan shikoyat qiladi, INTERNAL_ADDRESS_FAILURE esa javob beruvchi virtual manzil ajrata olmaganini bildiradi, bu qamrov emas, hovuz muammosi.

To'plamni nimani jimgina kichraytirishini tekshiring

Uch narsa hech narsa demasdan selektor to'plamini kichraytiradi. Birinchisi javob beruvchining siyosati, quyi tarmoq ro'yxatlari, guruh qoidalari yoki foydalanuvchi bo'yicha avtorizatsiya taklifni quyi to'plamga tushiradi. Ikkinchisi manzil oilasi: ikki stekli mijoz ko'pincha IPv4 bilan birga IPv6 taklif qiladi va shlyuz hech qachon sozlamagan diapazonlar uchun rad javobini oladi.

Uchinchisi protokol va port cheklovlari. Siyosat faqat TCP 445 ga ruxsat bergan joyda, ICMP va UDP tashqarida qolgan holda bola SA ko'tarilishi mumkin va foydalanuvchi faqat bitta protokolga ruxsat berilgan bo'lsa ham tunnel buzilgani haqida xabar beradi.

Shuning uchun faqat manzillarni kengaytirish port bilan cheklangan siyosatni tuzata olmaydi va aynan shu holat uch bosqich muammolarni bartaraf etishdan keyin ham o'zgarmasdan qolish ehtimoli eng yuqori.

Mos keladigan trafik bilan qamrovni isbotlang

Bola SA o'rnatilgandan so'ng, qabul qilingan diapazonlar ichiga aniq tushadigan bitta so'rov yuboring. Holat belgisi o'rniga hisoblagichlarni kuzating: paket moslanib himoyalanganda ip -s xfrm state va ip xfrm policy orqasidagi hisoblagichlar oshadi. Haqiqiy trafikdan keyin ham nolda qoladigan bayt soni yadro bu siyosatni hech qachon tanlamaganini bildiradi.

Bu nol marshrutlash yoki siyosat tartibi muammosi, kripto muammosi emas. Foydalanuvchi o'rnidan u selektor rad etishiga xuddi o'xshaydi, shuning uchun profilni qayta ochishdan oldin hisoblagichlarni yig'ishga arziydi. Faqat bir yo'nalishda oshadigan hisoblagichlar esa qaytish yo'liga ishora qiladi.

Qabul qilingan juftni biletga, boshida so'ralgan diapazon yoniga yozish bilan yakunlang. Tanlovni talab darajasida tor tuting, chunki shaxsiy diapazonni barcha manzillar bilan almashtirib xatoni olib tashlash hisob uchun tasdiqlanganidan ancha ko'p kirish beradi.