MAC không khớp trong IKE nghĩa là kiểm tra khóa chia sẻ đã thất bại

Nhật ký Cloud VPN của bạn hiển thị một lần thử khóa chia sẻ, tiếp theo là thông báo MAC không khớp, và phản xạ đầu tiên thường là tìm lỗi địa chỉ. Trong nhánh này, MAC là mã xác thực thông điệp: một giá trị được tính trên quá trình trao đổi với khóa đã thương lượng. Bên kia đã so sánh phép tính của mình với giá trị nhận được, và chúng khác nhau. Không có card mạng nào tham gia, và không cài đặt giao diện nào thay đổi phép so sánh đó.

Trên thực tế có hai điều kiện tạo ra nó: bí mật ở hai đầu không cùng giá trị, hoặc danh tính dùng để chọn bí mật không tương ứng với nhau. Hãy xác định điều nào bằng cách đọc cả cặp, chứ không phải một đường hầm.

Giai đoạn này chứng minh điều gì

Kiểm tra chạy sau khi cả hai bên đã trao đổi tham số ban đầu và tự nhận diện. Nó chọn các khóa ứng viên cho danh tính cục bộ và từ xa rồi cố xác thực dữ liệu xác thực nhận được; khi không khóa nào hợp lệ, chẩn đoán được phát ra. Đó là một tuyên bố mạnh về xác thực và một tuyên bố yếu về nguyên nhân, vì nó không nói bên nào sai.

Thành công trước đó không chuyển sang lần kiểm tra này. Một IKE_SA_INIT đã hoàn tất, hoặc một payload phát hiện NAT trả về các giá trị mong đợi, chứng minh hai bên có thể nói chuyện. Nó không chứng minh gì về việc họ có chia sẻ bí mật hay không.

Hai lỗi cấu hình, một thông báo

Lỗi đầu tiên là sự không khớp bí mật thực sự, và thường là tai nạn khi triển khai: một giá trị được tạo cài trên một bảng điều khiển và gõ lại trên bảng kia, một ký tự cuối còn sót lại ở một phía, hoặc một dấu ngoặc kép đi kèm khi dán. Lỗi thứ hai là không khớp danh tính, khi bí mật đúng nhưng danh tính bên kia trình ra chọn một mục khác, nên bí mật đúng không bao giờ được thử. Cả hai cho ra cùng một dòng, đó là lý do đoán mò tốn cả buổi chiều.

Hãy so sánh cả cặp trước khi chạm vào bất kỳ bí mật nào. Khớp đường hầm, điểm cuối của bên kia, cửa sổ thời gian và cấu hình từ xa, vì hai đường hầm dự phòng có thể giữ bí mật khác nhau và màn hình trước mắt bạn có thể không phải là cái đã hỏng.

Phát hiện NAT là giai đoạn khác

Phát hiện NAT hỏi các gói được viết lại thế nào, chứ không hỏi bên kia là ai. Cổng khách hàng sau NAT vẫn xác thực đúng khi danh tính đã cấu hình là danh tính bên kia mong đợi, và sự cố NAT hiện ra như không khớp đề xuất hoặc cổng, chứ không phải như một phép so sánh xác thực thất bại.

Đừng mang một tuyên bố cũ về một bản phát hành của nhà cung cấp vào triển khai hiện tại. Những gì việc đi qua NAT yêu cầu trong bản phát hành của bạn thuộc tài liệu của chính nó, và cụm từ MAC không khớp không phải bằng chứng ủng hộ hay phản đối.

Quyết định từ cặp, không từ màn hình

Đọc cả hai cấu hình cạnh nhau với bí mật được che đi, rồi hỏi ba câu. Danh tính mỗi bên có đúng chính xác điều bên kia mong đợi, từng ký tự không? Hai đầu có dùng cùng phiên bản IKE và cùng phương thức xác thực không? Đường hầm đang hỏng có tương ứng với cấu hình bạn đang đọc không? Một câu không cho bất kỳ điều nào trong số đó quyết định việc sửa mà không cần chạm vào bí mật.

Nếu cả ba đều sạch, hãy thay bí mật qua quy trình đã được phê duyệt thay vì sửa vòng quanh nó.

Sau khi bên kia xác thực

Khi xác thực thành công, bề mặt lỗi tiếp theo là hiệp hội bảo mật con: các đề xuất và bộ chọn lưu lượng. Xoay một bí mật đã được chấp nhận không thể sửa lỗi của hiệp hội con và còn kéo dài thời gian gián đoạn. Đọc trạng thái của hiệp hội con, rồi các bộ chọn và dải được bảo vệ ở hai bên, và ghép hướng dẫn khắc phục sự cố Cloud VPN với giai đoạn thực sự thất bại.

Tương quan nhật ký mới từ cả hai đầu cho cùng một cặp và cùng một cửa sổ. Một bên riêng lẻ đưa ra phán quyết mà không có đầu vào của bên kia, và đó chính là sự mơ hồ đã tạo ra thông báo ngay từ đầu.

Điều không nên kết luận

Đừng đọc thông báo như một yêu cầu đổi địa chỉ MAC, và đừng công bố bí mật chia sẻ khi nhờ trợ giúp; một đoạn trích chứa khóa cần được gỡ khóa ra, chứ không phải giữ lại nhật ký. Cũng đừng cho rằng có lỗi định tuyến, vì các bên không đến được nhau không tạo ra phép so sánh xác thực nào cả. Và đừng khái quát một giới hạn đã được ghi nhận của một dòng sản phẩm cho mọi triển khai IPsec.

Ghi lại cặp đã hỏng, trạng thái đường hầm trước và sau, và điều kiện nào trong hai điều kiện bạn đã thay đổi. Bản ghi đó biến lần xuất hiện sau thành một lần kiểm tra năm phút.