NetdefendOS_2.27.01_Firewall_User_Manual_RUS

приходят к инициатору, он отбрасывает их, так как соответствующий туннель не обнаружен.
Для решения проблемы просто удалите туннель со стороны, которая считает его по-прежнему
активным. Рекомендуется выяснить, почему на одной стороне нарушено соединение. Возможно,
DPD и/или Keep-Alive используются только на одной стороне. Другой возможной причиной может
быть то, что даже при получении пакета DELETE, туннель не был удален.
4. Payload_Malformed
Данная проблема аналогична проблеме Incorrect pre-shared key, описанной выше. Возможная
причина заключается в том, что на любой стороне используется ключ PSK неверного типа
(парольная фраза или шестнадцатеричный ключ).
Убедитесь в том, что на обеих сторонах IPsec-туннеля используется один и тот же тип ключа. Если
на одной стороне используется шестнадцатеричный ключ, а на другой парольная фраза, скорее всего,
будет отправлено сообщение об ошибке.
5. No public key found
Это часто отправляемое сообщение при работе с VPN-туннелями и использовании сертификатов для
аутентификации.
Устранение данной проблемы может оказаться сложным, так как причины ее возникновения
различны. Также важно помнить, что при работе с сертификатами необходимо совместно
использовать журналы ikesnoop и обычные журналы, так как ikesnoop не предоставляет информации
о сертификатах, а стандартные журналы могут содержать важную информацию о причине проблемы.
Прежде чем заняться устранением проблемы рекомендуется установить туннель на основе PSK,
далее проверить, успешно ли прошла установка, а затем перейти к использованию Сертификатов
(если тип конфигурации разрешает это).
Возможны следующие причины проблемы:
• Сертификат на любой стороне не подписан одним и тем же сервером СА.
• Срок действия сертификата истек или еще не вступил в силу. Последнее может произойти
из-за некорректного времени, установленного либо на сервере CA, либо на межсетевом
экране NetDefend, или по причине того, что они находятся в разных часовых поясах.
• У межсетевого экрана NetDefend нет доступа к Списку отозванных сертификатов
(Certificate Revocation List, CRL) на сервере СА, чтобы проверить подлинность сертификата.
Убедитесь в корректности пути CRL в свойствах сертификата. (Можно отключить функцию
CRL). Также убедитесь, что в NetDefendOS настроен DNS-клиент для корректного
преобразования пути к CRL.
Примечание: L2TP и Microsoft Vista
С помощью L2TP система Microsoft Vista по умолчанию пытается загрузить
список CRL, в то время как система Microsoft XP этого не выполняет. В
операционной системе Vista можно выключить данную опцию.
• Если существует несколько похожих или удаленных туннелей и для их различения
используются списки идентификаторов, возможной причиной будет то, что ни один из
списков идентификаторов не соответствует свойствам сертификатов подключенного
пользователя. Вероятно, пользователь является неавторизованным или свойства
сертификата неверные, помимо этого, возможно необходимо обновить списки
идентификаторов.
• При использовании L2TP-протокола сертификат клиента помещается в хранилище неверных
сертификатов на клиенте Windows. При подключении клиента используется неверный
сертификат.
424