Năm vai trò địa chỉ trong một hồ sơ IPsec, và cái nào là sai

Năm công việc khác nhau nhận một địa chỉ trong một định nghĩa kết nối điển hình, và chúng không nhất thiết phải khớp với nhau. Quản trị viên bị kẹt vì một bản năng hợp lý, là trỏ mọi trường vào cùng một máy chủ, lại sai với ít nhất ba trong số đó. Lối ra là đặt tên triệu chứng trước rồi nhìn vào một hoặc hai trường có thể tạo ra nó.

Năm công việc, theo thứ tự quan trọng

Điểm cuối giao vận là nơi trao đổi IKE được chuyển đến. Danh tính đã xác thực là cái tên mà mỗi bên chứng minh, và nó được kiểm tra theo chính sách chứ không theo bảng định tuyến. Các mạng con được bảo vệ là những bộ chọn quyết định lưu lượng bên trong nào thuộc về đường hầm. Sau đó là nguồn được dùng khi chính cổng bắt đầu một cuộc trò chuyện, và cuối cùng là bước nhảy tiếp theo của lớp nền để tới được đối tác.

Các nhãn thành phần như left và right là quy ước cho hai phía của một kết nối, không phải từ đồng nghĩa của cục bộ và từ xa. Hãy đọc hướng dẫn của bản triển khai thực sự được cài đặt trước khi cho rằng một khóa mang nghĩa mà một sản phẩm khác muốn nói.

Quyết định một: không có gì được thiết lập

Khi nhật ký hoàn toàn không hiện ra trao đổi nào, điểm cuối là nghi phạm đầu tiên: địa chỉ sai, đường đi bị lọc, hoặc một giao diện mà daemon không lắng nghe. Chỉ chuyển sang các trường danh tính sau khi thấy bắt tay, vì danh tính được đánh giá bên trong trao đổi chứ không phải trước đó. Đường đi bị lọc và địa chỉ sai trông giống hệt nhau từ phía máy khách, nên hãy kiểm tra phía đang lắng nghe trước khi sửa bất cứ thứ gì. Xác nhận rằng daemon được gắn vào giao diện bạn mong đợi, vì một dịch vụ lắng nghe trên một địa chỉ trông đúng như một đường đi bị chặn.

Một địa chỉ công cộng quan sát được qua chuyển dịch không phải là cùng thứ với danh tính mà đối tác chứng minh. Đổi một địa chỉ để khớp với những gì bắt gói cho thấy ở đầu xa là một cách sửa phổ biến và sai.

Quyết định hai: đường hầm đã lên và lưu lượng chết

Bộ chọn quyết định cái gì đi vào đường hầm, và sự không khớp ở đây tạo ra một kết nối thương lượng thành công trong khi ứng dụng vẫn thất bại. Phía xa phải đặt tên dải được bảo vệ của bạn là dải từ xa của nó, và chính ở đó các giá trị bị đảo lộn len vào.

Đọc cả hai cấu hình cạnh nhau trước khi sửa. Dải cục bộ trên một máy chủ là dải từ xa trên máy kia, và một cặp bị hoán đổi giải thích một đường hầm không chở gì cả. Thu hẹp cặp trước khi chạm vào khóa: một mạng con bên trong đường hầm và một bên ngoài cho bạn biết bộ chọn hay định tuyến là thủ phạm.

Quyết định ba: chỉ lưu lượng của chính cổng là thất bại

Lưu lượng được chuyển tiếp cho máy khách có thể hoạt động hoàn hảo trong khi một yêu cầu do chính cổng khởi tạo lại thất bại, vì luồng đó không có nguồn máy khách để thừa kế. Cài đặt nguồn ưu tiên tồn tại chính cho trường hợp này, và nó không phải là chuyển dịch nguồn: nó chọn một địa chỉ nguồn thay vì viết lại một địa chỉ.

Một ứng dụng gắn rõ ràng một địa chỉ khác có thể vượt qua ưu tiên, vì vậy hãy xác nhận nguồn thực tế của gói trước khi kết luận rằng cài đặt bị bỏ qua. Hãy bắt trên giao diện của chính cổng thay vì tin vào ý định của cấu hình.

Bước nhảy tiếp theo là một chỉ dẫn cục bộ

Bước nhảy tiếp theo của lớp nền nói cho máy chủ này cách tới đối tác, và phía xa không cần cùng giá trị đó. Coi nó như một cài đặt chia sẻ, hoặc mã hóa cứng một cổng mặc định, sẽ hỏng ngay khi tuyến thay đổi hoặc xuất hiện một đường thứ hai.

Một số bản triển khai cung cấp giá trị đặc biệt ở đây. Những gì hướng dẫn liệt kê cho phiên bản đã cài là câu trả lời an toàn duy nhất, và bảng định tuyến cục bộ là bằng chứng rằng nó đã hoạt động. Khi đối tác tới được bằng tên nhưng không bằng địa chỉ, sự không khớp đó chính là phát hiện, không phải chi tiết để lách.

Đọc hồ sơ từ cả hai đầu

Đảo vai trò trên giấy là cách rà soát nhanh nhất hiện có: hoán đổi các dải được bảo vệ, giữ bước nhảy tiếp theo riêng của mỗi phía và danh tính riêng của mỗi phía. Bất cứ thứ gì không sống sót qua hoán đổi có lẽ đã được gán cho công việc sai.

Sau đó thử một luồng cho mỗi vai trò: khả năng tới được giữa các đối tác, một luồng máy khách bên trong và một yêu cầu bắt nguồn từ cổng. Ba bài kiểm tra cho bạn biết công việc nào bị gán sai mà không cần mở lại cấu hình. Hãy thêm kết quả vào phiếu bên cạnh trường bạn đã thay đổi, vì kỹ sư tiếp theo sẽ gặp cùng hồ sơ đó.