IKE-SA qurulub, CHILD-SA yoxdur: məlumatlar harada dayanır

Müştəri autentifikasiyanın keçdiyini deyir, IKE vəziyyəti sağlam görünür, paket sayğacları isə sıfırda qalır. Bu birləşmə ziddiyyət deyil: IKEv2 nəzarət əlaqəsini və məlumat əlaqəsini ayrı saxlayır, birincisi uğurla qurula bilər, ikincisi isə heç vaxt qalxmaz. Valideyn danışıqları, övlad isə trafiki idarə edir. Tuneli söndürmüş elan etməzdən əvvəl iki qatı ayrıca oxuyun.

İki SA nə edir

IKE-SA nəzarət əlaqəsidir: tərəfləri autentifikasiya edir və müdafiəni danışan, əvəz edən və silən mübadilələri daşıyır. O, heç vaxt tətbiq paketlərini daşımır. Buna görə sağlam valideyn yalnız iki ucun təhlükəsizlik siyasəti üzərində razılaşa bildiyini sübut edir, başqa heç nəyi yox.

CHILD-SA məlumat əlaqəsidir, valideynin altında yaradılır və bir qorunan çoxluq üçün trafik selektorları və açar materialı daşıyır. O, istiqamətlidir, ona görə status çıxışı ayrı identifikatorlarla gələn və gedən assosiasiyanı, adətən də hər istiqamət üçün ayrı sayğacları göstərir. Bu cütlük bir istiqamətin işləyib digərinin düşməsinin, həmçinin tunel qalxıb ifadəsinin trafik barədə heç nə deməməsinin səbəbidir. Bir valideyn bir neçə övlad saxlaya bilər və tək bir bağlantı etiketi məhz belə lazım olanı gizlədir.

Bağlantı etiketini deyil, övlad qeydlərini oxuyun

Valideyn statusunu və övlad siyahısını birlikdə açın, sınaqdan keçirdiyiniz axına selektorları uyğun gələn övladı tapın. Onun trafik selektorlarını, danışılmış alqoritmləri, ömür müddətini və hər iki istiqamətdə sayğacları qeyd edin. Bir neçə övlad varsa, mövqeyə görə deyil, selektorlara görə uyğunlaşdırın, çünki açar yeniləndikdən sonra mövqe dəyişir. Nəyisə dəyişməzdən əvvəl identifikatorları yazın.

Valideyn sınaqdan keçirdiyinizdən fərqli trafik çoxluğu göstərirsə, səhv övladı oxuyursunuz. Bu selektor problemidir, pozulmuş tunel deyil.

Vaxt damğalarını da qeyd edin. Açar yenilənməsi bir qatı əvəz edə, digəri isə qurulmuş qala bilər və yeni görünən övlad izlədiyinizin əvəzi ola bilər. Övladın yox olduğu qənaətinə gəlməzdən əvvəl identifikatorları müqayisə edin.

Övlad olmadıqda

Autentifikasiya keçə bilər, məlumat təklifi və ya selektorlar isə uğursuz olur və valideyn heç bir övlad olmadan qalır. Adi səbəb alqoritm uyğunsuzluğu və ya trafik selektoru uyğunsuzluğudur və hər iki tərəf rədd edilmiş təklifi jurnalda qeyd edir. Hər iki ucu oxuyun, çünki çata bildiyiniz tərəf yalnız rəddi göstərə bilər. Valideyni yenidən başlatmaq əvəzinə uyğunsuzluğu düzəldin, çünki bu, eyni uğursuz danışığı təkrarlayır və sübutlara bir kəsinti əlavə edir.

Daim yenidən qurulan valideyn, övlad olmadan qalan valideyndən fərqli bir nasazlıqdır. İkinci halda jurnallar rədd edilmiş təklifin adını çəkir, ona görə siyasəti redaktə etməzdən əvvəl həmin təklifi hər iki ucdan toplayın.

Övlad var, sayğaclar isə sıfırda qalır

Övlad selektorlarına uyğun yeni sorğu göndərin. Həmin siyasətdən kənar ünvana gedən sorğu nə qədər uğurlu görünsə də, sayğaclarını tərpətməyəcək.

Axını tunelə itələməli olan marşrutu yoxlayın, çünki trafiki olmayan övlad çox vaxt heç nəyin yönləndirilmədiyi övlad olur. Yalnız bir istiqamətdə tərpənən sayğaclar qayıdış yolunda selektor və ya siyasət uyğunsuzluğuna işarə edir. Lokal tərəfə toxunmazdan əvvəl uzaq tərəfin qayıdış selektorlarına baxın. Yeni sorğu həm də hər iki ucun status çıxışı ilə müqayisə edəcəyiniz vaxt damğası verir.

Hesabatda qatı adlandırın

Nasazlığı hökm yerinə üç sahə kimi bildirin: sıradan çıxan qat, yoxladığınız mübadilə və ya övlad, və əlinizdə olan sübutlar. Qat üçdən biridir: valideyn heç qurulmadı, övlad danışığı rədd edildi, ya da övlad var və trafik ona çatmır. Sübut, selektorları və sayğacları ilə övlad identifikatoru, ya da hər iki jurnaldan götürülmüş rədd edilmiş təklifdir. Bunu oxuyan hər kəs hansı VPN-i nəzərdə tutduğunuzu soruşmaq əvəzinə birbaşa vacib mübadiləyə keçə bilər.

Rəsmi IKEv2 üzrə strongSwan sənədləri bu qatların status çıxışında necə göründüyünü göstərir. Sınaqdan keçirdiyiniz övlad çıxışını əlavə edin, yalnız valideyn xülasəsini deyil.