Kiruvchi IPsec hamkor hech qanday profilga mos kelmayaptimi? To'rt maydonni tekshiring

Hamkoringiz tunnel ko'tarilganini xabar qiladi, sizning tomoningiz hech qanday xavfsizlik assotsiatsiyasini ko'rsatmaydi, konfiguratsiya faylida esa mos ulanish nomi aniq bor. Bu uch gap bir vaqtda to'g'ri bo'lishi mumkin. Kiruvchi muzokara ishlab turgan konfiguratsiya bilan solishtiriladi, hamkorning manzili, u taqdim etgan identifikator va u taklif qilgan trafik asosida. Diskda qolib ketgan, hech qachon yuklanmagan fayl, kutilgan qiymatga mos kelmaydigan identifikator yoki bitta prefiksga siljigan selektorlar jufti — har biri sukunat keltiradi. To'rt maydon guruhini javob beruvchi boradigan tartibda o'ting.

Fayldan emas, paketdan boshlang

Javob beruvchi IKE so'rovini oladi, bu hamkorni qabul qila oladigan ta'rifni qidiradi, so'ngra autentifikatsiya va trafik tanlashga o'tadi. Agar birinchi qadamda hech qanday yuklangan ta'rif mos kelmasa, muzokara foydali xato foydalanuvchiga yetib bormasdan tugaydi.

Shuning uchun “konfiguratsiya to'g'ri ko'rinadi” dalil emas. Savol — ishlab turgan xizmat nima yuklaganini va bu urinish uchun qaysi yozuvni tanlaganini aniqlashdir. Holat ro'yxati bunga bitta buyruq bilan javob beradi, muharrir buferi esa boshqa savolga javob beradi. Faylni yana o'zgartirishdan oldin ro'yxatni tekshiring.

Birinchi maydon guruhi: haqiqatan yuklangan ta'rif

Ishlab turgan holatni demon egallagan vosita bilan tekshiring: yuklangan ulanishlarni sanab chiqadigan holat buyrug'i, muharrir buferi emas. Kutilgan yozuv borligini, siz mo'ljallagan ishga tushish xatti-harakati uchun yoqilganini va oxirgi tahriringizdan keyin yuklanganini tasdiqlang. Saqlangan, lekin qayta yuklanmagan fayl “tuzatdim, ammo hech narsa o'zgarmadi” degan gapning eng keng tarqalgan sababi.

Xizmat qaysi faylni o'qishini ham tasdiqlang. Distributivlar farq qiladi va noto'g'ri qo'shimchaga yozilgan ulanish rad etilmay, jimgina e'tibordan chetda qoladi. Agar holat ro'yxati yozuvingizni umuman ko'rsatmasa, sintaksisdan oldin qo'shimcha yo'lidan shubhalaning.

Ikkinchi maydon guruhi: so'nggi nuqtalar identifikator emas

Hamkor ulanadigan manzil va u autentifikatsiya qiladigan identifikator alohida maydonlardir. Xost nomi, ajratilgan nom, kalit identifikatori va manzil konfiguratsiyaga qarab IKE identifikatori bo'la oladi va ular ommaviy manzilga o'xshash bo'lishi shart emas.

So'nggi nuqtalarni moslashtirish NAT ko'rinishini ham qamrab olishi mumkin: tarmoqda ko'rinadigan manzil hamkor o'zida bor deb o'ylagan manzildan farq qilishi mumkin. libreswan ulanish modelida left va right ikki ishtirokchining belgilari, mahalliy va uzoqning qat'iy tartibi emas, shuning uchun boshqa saytdagi ishlaydigan konfiguratsiyani ko'chirib, manzillarni almashtirish ishonchli tarjima emas.

Ikki tomonning kutilgan identifikatorini va uni tasdiqlovchi guvohni yozib qo'ying. Agar bu ikki satr mos kelmasa, manzillarni qanchalik sozlasangiz ham moslik chiqmaydi.

Uchinchi maydon guruhi: himoyalanadigan trafik

Selektorlar ichki manba va manzil diapazonlarini, ularning manzil oilasini va har qanday protokol yoki port cheklovini tavsiflaydi. Bitta xost manziliga taklif butun quyi tarmoq uchun so'rov bilan bir xil emas, quyi tarmoq uchun sozlangan javob beruvchi uni rad etishi yoki toraytirishi mumkin.

Ikki uchi mos kelmasa, nima bo'lsa ham ulanishi uchun har bir selektorni kengaytirish o'rniga mo'ljallangan oqimni ikki nuqtai nazardan solishtiring. Har bir administratoradan u himoya qiladi deb o'ylagan oqimni so'rang, so'ng ikki javobni solishtiring. Nomuvofiqlik odatda bir tomonda xost prefiksi, ikkinchisida quyi tarmoq. Endi hammasini himoya qilgani uchun mos keladigan tunnel — boshqa xavfsizlik qarori va hech kim tasdiqlamagan qaror.

To'rtinchi maydon guruhi: siz bitta amalga oshirishni o'qiyapsiz

Libreswan, eski Openswan va strongSwan turli boshqaruv vositalariga, turli konfiguratsiya sintaksisiga va turli moslashtirish tartibiga ega. Birining ishlaydigan misoli ikkinchisining profil tanlash ustuvorligi yoki xato so'zlari haqida aniq hech narsa demaydi, shuning uchun bu xostdagi demon hujjatlari bilan tekshiring.

Bitta urinishni boshidan oxirigacha bog'lang: tashabbuskorning manba manzili, taqdim etilgan identifikator va taklif qilingan selektorlar — javob beruvchining tanlash xabari va u nomlagan yuklangan yozuv bilan. Nol inkapsulyatsiya va dekapsulyatsiya hisoblagichlari kuzatilgan assotsiatsiyalar bu paketlarni tashimaganini aytadi xolos; ular taklifni rad etgan so'nggi nuqtani nomlamaydi va o'sha paytda mos yozuv bo'lganini isbotlamaydi.

Muvofiqlashtirilgan tuzatishdan keyin tanlangan profil va assotsiatsiyani tasdiqlang, so'ng haqiqatda ruxsat etilgan xizmat va uning javob yo'lini sinab ko'ring. Profil mosligi muzokaraga imkon beradi, muzokara esa oxirgi kirish tekshiruvi emas.