اتفاقية IKEv2 لديك قائمة دون اتفاقية فرعية: اقرأ التبادل

يقول IKE إن النفق نشط، والاتفاقية الفرعية غائبة، ويمكن أن يكون القولان صحيحين في الوقت نفسه. العلاقة التحكمية القائمة ليست اقتراناً للبيانات، ولكل من الكائنين عمره وتفاوضه وأنماط فشله المستقلة. الإبلاغ عن الأول على أنه اتصال هو الطريق الذي ينتهي به التذكرة إلى الادعاء بأن النفق يعمل بينما لا شيء يعمل. اقرأ قائمة الاقترانات بدلاً من التسمية الموجزة للاتصال، لأن تلك القائمة هي المكان الوحيد الذي يظهر فيه الكائن الغائب. ما يلي هو الترتيب الذي تصبح فيه القائمة مفهومة.

اقترانان، مهمتان

تحمل اتفاقية IKE القناة التحكمية: الهويات والمفاتيح والمقترحات الخاصة بالتبادل التحكمي نفسه. وتحمل الاتفاقية الفرعية حماية ESP، بخوارزمياتها الخاصة ومحددات حركتها الخاصة. تسير المصادقة وإنشاء الاتفاقية الفرعية معاً عادة، لأن الاتفاقية الفرعية الأولى تتفاوض داخل IKE_AUTH، وهذا الربط بالضبط ما يفاجئ الناس من الفصل بينهما.

وهو يفسر أيضاً شكلين من الفشل ستلقاهما. الاتفاقية الفرعية المرفوضة أثناء التبادل الأولي تسقط اتفاقية IKE معها عادة، فلا ترى أي قناة تحكمية قائمة على الإطلاق. أما اتفاقية IKE الواقفة وحدها فتعني في الأغلب أن الاتفاقية الفرعية الأولى نجحت وأن محاولة لاحقة لإنشاء اتفاقية فرعية فشلت، أثناء إعادة توليد المفاتيح مثلاً. الطوابع الزمنية تفصل تلك الحالات أسرع من أي مراجعة إعدادات.

أي طبقة رفضت

حين ترفض اتفاقية فرعية، يسمي الإشعار الطبقة. رفض المقترح يعني أن الطرفين لم يتفقا على الخوارزميات، غالباً لأن أحدهما يطلب مجموعة سرية أمامية تامة مختلفة أو شيفرة لا يقبلها الآخر. رفض المحدد يعني أن مجموعة الحركة رفضت رفضاً صريحاً، وهي حجة تغطية لا حجة تعمية.

أحياناً يكون غياب الاتفاقية الفرعية هو التصميم. اتفاقية IKE بلا اتفاقية فرعية امتداد معرف يستخدم حيث ينبغي إنشاء اقتران البيانات عند الطلب، فغيابها صحيح وتظهر الاتفاقية الفرعية عندما تصل حركة مطابقة. ملاحظات strongSwan عن IKEv2 تغطي كلاً من أسلوب عند الطلب وإعدادات المقترح التي تحسم الحالة الأولى.

افحص وجود إعداد عند الطلب أو إعداد فخ قبل تشخيص عطل. إذا أنشئت الاتفاقيات الفرعية بتأخير، فغيابها في السكون هو الحالة المتوقعة، والاختبار الحقيقي هو ما إذا كانت الحركة تنشئ واحدة. هذا الاختبار يفصل أيضاً التصميم المتأخر عن الفشل الصامت، لأن الإنشاء الفاشل يترك المحفز بلا إجابة بدلاً من أن يتركه خامداً فقط.

ثم اسأل عن مسار البيانات

بعد وجود اتفاقية فرعية، تجيب العدادات السؤال التالي. ip -s xfrm state يعرض عدد الحزم والبايتات لكل اقتران، واتفاقية فرعية لا تحمل شيئاً بينما تولد حركة تشير إلى المطابقة أو التوجيه بدلاً من اقتران غائب. swanctl --list-sas يطبع محددات الاتفاقية الفرعية إلى جانب تلك العدادات، وهذا ما يؤكد أن الحزمة تقع داخل المجموعة المقبولة.

أبق المصادقة الناجحة وتبادل الاتفاقية الفرعية الفاشل منفصلين في التقرير. تقرير يقول إن المصادقة فشلت يرسل المهندس التالي إلى مخزن الشهادات، والجملة الدقيقة أقصر بكثير: قامت اتفاقية IKE، والاتفاقية الفرعية لهذا المسار لم تقبل قط.

اربط الطرفين

لخادم تديره بنفسك، اسحب سجلات العميل والبوابة للتبادل نفسه بدلاً من مقارنة محاولتي إعادة اتصال تفصلهما ساعة. ينبغي أن تتطابق الإشعارات على الجانبين، وحيث لا تتطابق فقد وجدت الطرف المساء إعداده.

صحح تفاوض الاتفاقية الفرعية، ثم أعد الاختبار بحركة داخل المحدد المقصود. هذا الاختبار الوحيد الذي يثبت أن الكائن الغائب صار موجوداً، لأن قائمة اقترانات تحدث في السكون قد تبدو متطابقة قبل الإصلاح وبعده.