IKE'da MAC mos kelmasligi umumiy kalit tekshiruvi muvaffaqiyatsiz bo'lganini bildiradi

Cloud VPN jurnalingizda umumiy kalit urinishi va undan keyin MAC mos kelmasligi haqidagi xabar ko'rinadi, birinchi fikr esa ko'pincha manzil muammosini izlash bo'ladi. Bu shoxobchada MAC xabar autentifikatsiya kodi: kelishilgan kalit bilan almashinuv ustida hisoblangan qiymat. Tengdosh o'z hisobini olgan qiymat bilan taqqosladi va ular farq qildi. Bunda tarmoq kartasi ishtirok etmaydi va hech qanday interfeys sozlamasi bu taqqoslashni o'zgartirmaydi.

Amalda buni ikki shart keltirib chiqaradi: ikki uchdagi sirlar bir xil qiymat emas yoki sirni tanlash uchun ishlatiladigan identifikatorlar bir-biriga mos kelmaydi. Qaysi biri ekanini bitta tunnelni emas, ikkala uchni o'qib aniqlang.

Bu bosqich nimani isbotlaydi

Tekshiruv ikkala tomon boshlang'ich parametrlarni almashib, o'zini tanishtirgandan keyin ishlaydi. U mahalliy va masofaviy identifikatorlar uchun nomzod kalitlarni tanlaydi va olingan autentifikatsiya ma'lumotlarini tekshirishga urinadi; hech biri tasdiqlanmasa, diagnostika chiqariladi. Bu autentifikatsiya haqida kuchli, sabab haqida esa zaif bayonot, chunki qaysi tomon xato ekanini aytmaydi.

Avvalgi muvaffaqiyat bu tekshiruvga o'tmaydi. Tugallangan IKE_SA_INIT yoki kutilgan qiymatlarni qaytargan NAT aniqlash yuklamasi tengdoshlar gaplasha olishini isbotlaydi. Ular sirni baham ko'radimi-yo'qmi, bu haqda hech narsa isbotlamaydi.

Ikki konfiguratsiya xatosi, bitta xabar

Birinchisi haqiqiy sir nomuvofiqligi va odatda tayyorlashdagi tasodif: bir konsolda o'rnatilgan qiymat boshqasida qayta terilgan, bir tomonda qolib ketgan oxirgi belgi yoki qo'shib qo'yish bilan kelgan qo'shtirnoq. Ikkinchisi identifikator nomuvofiqligi; sir to'g'ri, lekin tengdosh ko'rsatgan identifikator boshqa yozuvni tanlaydi, shuning uchun to'g'ri sir hech qachon sinalmaydi. Ikkalasi bir xil satrni beradi, shuning uchun taxmin qilish yarim kunni oladi.

Ikkala sirdan biriga tegishdan oldin juftlikni taqqoslang. Tunnel, tengdoshning so'nggi nuqtasi, vaqt oynasi va masofaviy konfiguratsiyani moslang, chunki ikkita zaxira tunnelda turli sirlar bo'lishi mumkin va oldingizdagi ekran muvaffaqiyatsiz bo'lgani bo'lmasligi mumkin.

NAT aniqlash boshqa bosqich

NAT aniqlash paketlar qanday qayta yozilayotganini so'raydi, tengdosh kimligini emas. NAT ortidagi mijoz shlyuzi sozlangan identifikator tengdosh kutgani bo'lsa, baribir to'g'ri autentifikatsiya qiladi, NAT muammosi esa muvaffaqiyatsiz autentifikatsiya taqqoslash emas, taklif yoki port nomuvofiqligi sifatida ko'rinadi.

Bitta ta'minotchi versiyasi haqidagi eski bayonotni joriy joylashtirishga olib o'tmang. Versiyangizda NAT o'tish uchun nima kerakligi uning o'z hujjatlariga tegishli, MAC mos kelmasligi iborasi esa bunga yo tarafdor, yo qarshi dalil emas.

Ekran bo'yicha emas, juftlik bo'yicha qaror qiling

Sirni yashirib ikkala konfiguratsiyani yonma-yon o'qing, so'ng uchta savol bering. Har bir tomondagi identifikator ikkinchi tomon kutgan narsaning aynan o'zimi, belgi-beligi? Ikkala uch ham bir xil IKE versiyasi va bir xil autentifikatsiya usulidan foydalanadimi? Muvaffaqiyatsiz tunnel siz o'qiyotgan konfiguratsiyaga mos keladimi? Ulardan birortasiga yo'q javobi sirga tegmasdan ta'mirlashni belgilaydi.

Agar uchtasi ham toza bo'lsa, atrofini tahrirlash o'rniga tasdiqlangan ish jarayoni orqali sirni almashtiring.

Tengdosh autentifikatsiyadan o'tgach

Autentifikatsiya muvaffaqiyatli o'tishi bilan keyingi nosozlik yuzasi bola xavfsizlik assotsiatsiyasi: takliflar va trafik selektorlari. Allaqachon qabul qilingan sirni aylantirish bola nosozligini tuzatmaydi va uzilishni uzaytiradi. Bola holatini o'qing, so'ng ikkala tomondagi selektorlar va himoyalangan diapazonlarni o'qing, Cloud VPN muammolarni bartaraf etish yo'riqnomasini haqiqatan nosoz bo'lgan bosqichga moslang.

Ikkala uchdan yangi jurnallarni bog'lang bir xil juftlik va bir xil oyna uchun. Bir tomon ikkinchisining kiritishisiz hukm chiqaradi, xabarni boshidan keltirib chiqargan noaniqlik ham aynan shu.

Nima xulosa qilmaslik kerak

Xabarni MAC manzillarini o'zgartirish talabi deb o'qimang va yordam so'raganda umumiy sirni e'lon qilmang; kalitni o'z ichiga olgan parcha kalitni olib tashlashni talab qiladi, jurnalni saqlashni emas. Marshrutlash xatosini ham taxmin qilmang, chunki bir-biriga yeta olmaydigan tengdoshlar umuman autentifikatsiya taqqoslashini keltirmaydi. Va bitta mahsulot oilasining hujjatlashtirilgan cheklovini har bir IPsec tatbiqiga umumlashtirmang.

Muvaffaqiyatsiz juftlikni, tunnelning oldingi va keyingi holatini va ikki shartdan qaysi birini o'zgartirganingizni yozib qo'ying. Bu yozuv keyingi holatni besh daqiqalik tekshiruvga aylantiradi.