IKE-SA staan, CHILD-SA ontbreek: waar die data ophou

Die kliënt sê dit het geauthentiseer, die IKE-status lyk gesond, en die pakkietellers bly op nul. Daardie kombinasie is nie ’n teenstrydigheid nie: IKEv2 hou ’n kontroleverhouding en ’n dataverhouding apart, en die eerste kan slaag terwyl die tweede nooit opkom nie. Die ouer hanteer die onderhandeling; die kind hanteer die verkeer. Lees die twee lae afsonderlik voordat jy die tonnel as af beskryf.

Wat die twee SA’s doen

Die IKE-SA is die kontroleverhouding: dit authentiseer die eweknieë en dra die uitruilings wat beskerming onderhandel, vervang en verwyder. Dit dra nooit jou toepassingspakkies nie. ’n Gesonde ouer bewys dus dat die twee kante oor sekuriteitsbeleid kan saamstem, en niks meer nie.

’n CHILD-SA is die dataverhouding wat onder die ouer geskep word, met verkeersselektore en sleutelmateriaal vir een beskermde stel. Dit is rigtinggebonde, so statusuitvoer lys ’n inkomende en ’n uitgaande assosiasie met aparte identifiseerders, en gewoonlik aparte tellers vir elke rigting. Daardie paring is waarom een rigting kan werk terwyl die ander een val, en waarom die frase die tonnel is op niks oor verkeer sê nie. Een ouer kan ook verskeie kinders hou, en dit is hoe ’n enkele verbindingsetiket die een wat jy nodig het, wegsteek.

Lees die child-inskrywings, nie die verbindingsetiket nie

Maak die ouerstatus en die kindlys saam oop, en vind die kind wie se selektore by die vloei pas wat jy toets. Let op sy verkeersselektore, die onderhandelde algoritmes, sy leeftyd en die tellers in beide rigtings. As daar verskeie kinders is, pas op selektore eerder as op posisie, want posisie verander ná ’n hersluiting. Skryf die identifiseerders neer voordat jy iets verander.

As die ouer ’n ander verkeersstel lys as die een wat jy toets, lees jy die verkeerde kind. Dit is ’n selektoreprobleem, nie ’n gebreekte tonnel nie.

Teken ook tydmerke aan. Hersluiting kan een laag vervang terwyl die ander een bly staan, en ’n kind wat nuut lyk, kan die plaasvervanger wees vir die een waarna jy gekyk het. Vergelyk identifiseerders voordat jy aflei dat ’n kind verdwyn het.

Wanneer daar geen kind is nie

Authentisering kan slaag terwyl die datavoorstel of die selektore misluk, wat ’n ouer sonder enige kind laat. Die gewone oorsaak is ’n algoritmeverskil of ’n verskil in verkeersselektore, en beide eweknieë teken die geweierde voorstel aan. Lees beide kante, want die kant wat jy kan bereik, wys miskien net die weiering. Maak die verskil reg in plaas daarvan om die ouer te laat herbegin, want dit herhaal dieselfde mislukte onderhandeling en voeg ’n onderbreking by die bewyse.

’n Ouer wat aanhou hervestig, is ’n ander fout as ’n ouer wat regop bly sonder ’n kind. In die tweede geval noem die logboeke die voorstel wat geweier is, so versamel daardie voorstel van beide kante voordat jy ’n beleid wysig.

Wanneer die kind bestaan maar die tellers op nul bly

Stuur ’n nuwe versoek wat by die kind se selektore pas. ’n Versoek na ’n bestemming buite daardie beleid sal nie sy tellers laat beweeg nie, hoe suksesvol dit ook lyk.

Kontroleer die roete wat die vloei in die tonnel moet instoot, want ’n kind sonder verkeer is dikwels ’n kind waarheen niks gerouteer word nie. Tellers wat net in een rigting beweeg, dui op ’n selektore- of beleidsverskil op die terugpad. Kyk na die afstand-eweknie se terugselektore voordat jy aan die plaaslike kant raak. ’n Nuwe versoek gee jou ook ’n tydmerk om teen beide kante se statusuitvoer te vergelyk.

Noem die laag in die verslag

Rapporteer die fout as drie velde eerder as ’n vonnis: die laag wat gefaal het, die uitruiling of kind wat jy ondersoek het, en die bewyse wat jy het. Die laag is een van drie: die ouer het nooit gevestig nie, die kindonderhandeling is geweier, of ’n kind bestaan en verkeer bereik dit nie. Die bewyse is die kind se identifiseerder met sy selektore en tellers, of die geweierde voorstel soos uit beide logboeke aangehaal. Enigiemand wat dit lees, kan reguit na die uitruiling gaan wat saak maak in plaas daarvan om te vra watter VPN jy bedoel.

Die strongSwan-dokumentasie oor IKEv2 wys hoe daardie lae in statusuitvoer verskyn. Heg die kinduitvoer aan wat jy getoets het, nie net die oueropsomming nie.