جلسة IKE-SA قائمة وجلسة CHILD-SA مفقودة: أين تتوقف البيانات

يقول العميل إنه نجح في المصادقة، وتبدو حالة IKE سليمة، بينما تبقى عدادات الحزم عند الصفر. هذا المزيج ليس تناقضاً: IKEv2 يفصل بين علاقة التحكم وعلاقة البيانات، وقد تنجح الأولى بينما لا تنهض الثانية أبداً. الطبقة الأم تتولى التفاوض، أما الطبقة الابنة فتتولى حركة البيانات. اقرأ الطبقتين على انفصال قبل أن تحكم على النفق بالسقوط.

ما تفعله الجلستان

جلسة IKE-SA هي علاقة التحكم: تصادق على الطرفين وتحمل التبادلات التي تتفاوض على الحماية وتستبدلها وتزيلها. وهي لا تحمل أبداً حزم تطبيقاتك. لذلك فإن طبقة أم سليمة تثبت فقط أن الطرفين يستطيعان الاتفاق على سياسة أمنية، ولا تثبت شيئاً آخر.

جلسة CHILD-SA هي علاقة البيانات، تُنشأ تحت الطبقة الأم، ومعها محددات حركة المرور والمواد المفتاحية لمجموعة محمية واحدة. وهي ذات اتجاهين منفصلين، لذا تعرض مخرجات الحالة اقتراناً وارداً وآخر صادراً بمعرّفات منفصلة، وبعدادات منفصلة عادةً لكل اتجاه. هذا الاقتران هو سبب نجاح اتجاه واحد وسقوط الآخر، وسبب أن عبارة النفق قائم لا تقول شيئاً عن حركة المرور. ويمكن للطبقة الأم أن تحمل عدة جلسات ابنة، وهكذا يخفي عنوان اتصال واحد الجلسة التي تحتاجها.

اقرأ مدخلات الابنة، لا عنوان الاتصال

افتح حالة الطبقة الأم وقائمة الجلسات الابنة معاً، وابحث عن الجلسة التي تطابق محدداتها التدفق الذي تختبره. سجّل محددات حركة المرور الخاصة بها، والخوارزميات المتفاوض عليها، وعمرها، والعدادات في الاتجاهين. وإذا وُجدت عدة جلسات ابنة، طابق على المحددات لا على الترتيب، لأن الترتيب يتغير بعد إعادة توليد المفاتيح. واكتب المعرّفات قبل أن تغيّر أي شيء.

إذا عرضت الطبقة الأم مجموعة حركة مرور مختلفة عن التي تختبرها، فأنت تقرأ الجلسة الابنة الخطأ. وهذه مشكلة محددات، لا نفق معطوب.

سجّل الطوابع الزمنية أيضاً. فقد تستبدل إعادة توليد المفاتيح طبقة بينما تبقى الأخرى قائمة، وقد تكون الجلسة الابنة التي تبدو جديدة بديلاً عن التي كنت تراقبها. قارن المعرّفات قبل أن تستنتج أن جلسة ابنة اختفت.

حين لا توجد جلسة ابنة

قد تنجح المصادقة بينما يفشل اقتراح البيانات أو تفشل المحددات، فتبقى الطبقة الأم بلا أي جلسة ابنة. والسبب المعتاد اختلاف في الخوارزمية أو اختلاف في محددات حركة المرور، ويسجل الطرفان الاقتراح المرفوض. اقرأ الطرفين، لأن الطرف الذي تصل إليه قد يعرض الرفض فقط. أصلح الاختلاف بدل إعادة تشغيل الطبقة الأم، فذلك يكرر التفاوض الفاشل نفسه ويضيف انقطاعاً إلى الأدلة.

الطبقة الأم التي تعيد التأسيس باستمرار عطل مختلف عن طبقة أم تبقى قائمة بلا جلسة ابنة. في الحالة الثانية تسمي السجلات الاقتراح الذي رُفض، فاجمع ذلك الاقتراح من الطرفين قبل تعديل أي سياسة.

حين توجد الجلسة الابنة لكن العدادات تبقى صفراً

أرسل طلباً جديداً يطابق محددات الجلسة الابنة. والطلب المتجه إلى وجهة خارج تلك السياسة لن يحرك عداداتها، مهما بدا ناجحاً.

افحص المسار الذي يفترض أن يدفع التدفق إلى النفق، لأن الجلسة الابنة التي بلا حركة تكون غالباً جلسة لا يُوجَّه إليها شيء. والعدادات التي تتحرك في اتجاه واحد فقط تشير إلى اختلاف في المحددات أو في السياسة على مسار العودة. انظر إلى محددات العودة عند الطرف البعيد قبل أن تمس الطرف المحلي. والطلب الجديد يمنحك أيضاً طابعاً زمنياً تقارنه بمخرجات الحالة عند الطرفين.

سمِّ الطبقة في التقرير

أبلغ عن العطل في ثلاثة حقول بدل حكم نهائي: الطبقة التي فشلت، والتبادل أو الجلسة الابنة التي فحصتها، والأدلة التي لديك. والطبقة واحدة من ثلاث: الطبقة الأم لم تتأسس قط، أو رُفض تفاوض الجلسة الابنة، أو توجد جلسة ابنة ولا تصلها حركة المرور. والأدلة هي معرّف الجلسة الابنة مع محدداتها وعداداتها، أو الاقتراح المرفوض منقولاً من السجلين. ومن يقرأ ذلك يستطيع الانتقال مباشرة إلى التبادل المهم بدل أن يسأل أي VPN تعني.

توضح وثائق IKEv2 من strongSwan كيف تظهر تلك الطبقات في مخرجات الحالة. أرفق مخرجات الجلسة الابنة التي اختبرتها، لا ملخص الطبقة الأم وحده.