Peer IPsec đi vào không khớp với hồ sơ nào? Kiểm tra bốn trường

Peer của bạn báo rằng đường hầm đã lên, phía bạn không hiển thị liên kết bảo mật nào, và tệp cấu hình rõ ràng có một tên kết nối khớp. Cả ba câu đó đều có thể đúng cùng lúc. Một cuộc thương lượng đi vào được đối chiếu với cấu hình đang chạy, dựa trên địa chỉ của peer, danh tính mà nó trình bày và lưu lượng mà nó đề xuất. Một tệp trên đĩa chưa từng được nạp, một danh tính không khớp với giá trị mong đợi, hoặc một cặp bộ chọn lệch đi một tiền tố — mỗi thứ đều tạo ra sự im lặng. Hãy đi qua bốn nhóm trường theo đúng thứ tự mà bộ phản hồi thực hiện.

Bắt đầu từ gói tin, không phải từ tệp

Bộ phản hồi nhận một yêu cầu IKE, tìm một định nghĩa có thể chấp nhận peer này, rồi tiếp tục với xác thực và chọn lưu lượng. Nếu ở bước đầu không có định nghĩa đã nạp nào khớp, cuộc thương lượng kết thúc trước khi bất kỳ lỗi hữu ích nào đến được người dùng.

Vì vậy «cấu hình trông đúng» không phải là bằng chứng. Câu hỏi là dịch vụ đang chạy đã nạp gì và đã chọn mục nào cho lần thử này. Một danh sách trạng thái trả lời điều đó bằng một lệnh, trong khi bộ đệm của trình soạn thảo trả lời một câu hỏi khác. Kiểm tra danh sách trước khi bạn sửa tệp lần nữa.

Nhóm trường thứ nhất: định nghĩa thực sự đã được nạp

Kiểm tra trạng thái đang chạy bằng công cụ sở hữu daemon: một lệnh trạng thái liệt kê các kết nối đã nạp, không phải bộ đệm của trình soạn thảo. Xác nhận mục bạn mong đợi có mặt, được bật cho hành vi khởi động bạn muốn, và đã được nạp sau lần sửa cuối của bạn. Một tệp đã lưu nhưng chưa nạp lại là nguyên nhân phổ biến nhất của «tôi đã sửa mà không có gì thay đổi».

Cũng xác nhận dịch vụ đọc tệp nào. Các bản phân phối khác nhau, và một kết nối ghi vào tệp include sai sẽ bị bỏ qua trong im lặng thay vì bị từ chối. Nếu danh sách trạng thái hoàn toàn không hiển thị mục của bạn, hãy nghi ngờ đường dẫn include trước cú pháp.

Nhóm trường thứ hai: điểm cuối không phải danh tính

Địa chỉ mà peer kết nối từ đó và danh tính mà nó dùng để xác thực là hai trường riêng biệt. Tên máy chủ, tên phân biệt, ID khóa và địa chỉ đều có thể làm danh tính IKE tùy theo cấu hình, và chúng hoàn toàn không cần giống địa chỉ công khai.

Việc khớp điểm cuối cũng có thể liên quan đến góc nhìn NAT: địa chỉ thấy trên mạng có thể khác địa chỉ mà peer nghĩ mình có. Trong mô hình kết nối của libreswan, left và right là nhãn cho hai bên tham gia chứ không phải thứ tự cố định giữa cục bộ và từ xa, vì thế sao chép một cấu hình đang chạy từ site khác rồi hoán đổi địa chỉ không phải là bản dịch đáng tin cậy.

Ghi lại danh tính mong đợi của cả hai phía và thông tin xác thực chứng minh danh tính đó. Nếu hai dòng đó không khớp, mọi mức điều chỉnh địa chỉ đều không tạo ra sự khớp.

Nhóm trường thứ ba: lưu lượng được bảo vệ

Bộ chọn mô tả các dải nguồn và đích bên trong, họ địa chỉ của chúng và mọi giới hạn về giao thức hoặc cổng. Một đề xuất cho địa chỉ của một máy không phải là cùng một yêu cầu như cho cả một mạng con, và bộ phản hồi được cấu hình cho mạng con có thể từ chối hoặc thu hẹp nó.

Khi hai đầu không khớp, hãy so sánh luồng dự định từ cả hai góc nhìn thay vì mở rộng mọi bộ chọn để có thứ gì đó kết nối được. Hỏi từng quản trị viên xem họ nghĩ mình đang bảo vệ luồng nào, rồi so sánh hai câu trả lời. Sự lệch nhau thường là tiền tố máy ở một bên và mạng con ở bên kia. Một đường hầm khớp vì giờ nó bảo vệ mọi thứ là một quyết định bảo mật khác, và là quyết định không ai phê duyệt.

Nhóm trường thứ tư: bạn đang đọc một cách triển khai

Libreswan, Openswan cũ và strongSwan có công cụ quản trị khác nhau, cú pháp cấu hình khác nhau và thứ tự khớp khác nhau. Một ví dụ đang chạy của bên này không nói được gì chính xác về ưu tiên chọn hồ sơ hay cách diễn đạt lỗi của bên kia, nên hãy kiểm chứng bằng tài liệu của daemon trên máy này.

Liên kết một lần thử từ đầu đến cuối: địa chỉ nguồn của bên khởi tạo, danh tính được đưa ra và các bộ chọn được đề xuất — đối chiếu với thông điệp chọn của bộ phản hồi và mục đã nạp mà nó nêu tên. Các bộ đếm đóng gói và mở gói bằng không chỉ nói rằng các liên kết quan sát được đã không mang những gói đó; chúng không nêu tên điểm cuối đã từ chối đề xuất và không chứng minh rằng lúc đó có một mục khớp.

Sau một sửa chữa có phối hợp, hãy xác nhận hồ sơ và liên kết đã chọn, rồi thử dịch vụ thực sự được phép và đường phản hồi của nó. Sự khớp hồ sơ cho phép thương lượng, và thương lượng không phải là bước kiểm tra truy cập cuối cùng.