IKEv2 SA qalxıb, amma törəmə SA yoxdur: mübadiləni oxuyun

IKE deyir ki, tunel qalxıb, törəmə SA isə yoxdur, və hər iki ifadə eyni vaxtda doğru ola bilər. Qurulmuş idarəetmə əlaqəsi məlumat assosiasiyası deyil, və iki obyektin ömür müddəti, razılaşmaları və uğursuzluq rejimləri ayrıdır. Birincini bağlantı kimi bildirmək, biletin tunelin qalxdığını iddia etməsi, amma heç nəyin işləməməsi ilə bitən yoldur. Bağlantının yekun etiketinə deyil, assosiasiyalar siyahısına baxın, çünki itkin obyekt yalnız həmin siyahıda görünür. Bundan sonra siyahının məntiqli olduğu sıra gəlir.

İki assosiasiya, iki vəzifə

IKE SA idarəetmə kanalını daşıyır: şəxsiyyətlər, açarlar və idarəetmə mübadiləsinin özü üçün təkliflər. Törəmə SA ESP qorunmasını daşıyır, öz alqoritmləri və öz trafik seçiciləri ilə. Autentifikasiya ilə törəmə SA-nın yaradılması adətən birlikdə gedir, çünki birinci törəmə SA IKE_AUTH daxilində razılaşdırılır və bu birləşmə ayrılığın insanları təəccübləndirməsinin səbəbidir.

Bu həm də qarşılaşacağınız iki uğursuzluq formasını izah edir. İlkin mübadilə zamanı rədd edilən törəmə SA adətən IKE SA-nı da aşağı çəkir, ona görə heç bir qurulmuş idarəetmə kanalı görmürsünüz. Tək qalan IKE SA çox vaxt birinci törəmə SA-nın yarandığını, sonrakı törəmə SA yaratma cəhdinin isə uğursuz olduğunu bildirir, məsələn açar yenilənməsi zamanı. Vaxt damğaları bu halları istənilən konfiqurasiya baxışından daha sürətli ayırır.

Hansı qat rədd etdi

Törəmə SA rədd edildikdə, bildiriş qatı adlandırır. Təklifin rədd edilməsi tərəflərin alqoritmlər barədə razılığa gələ bilmədiyini bildirir, çox vaxt biri fərqli mükəmməl irəli məxfilik qrupu və ya digərinin qəbul etməyəcəyi şifr tələb etdiyi üçün. Seçicinin rədd edilməsi trafik çoxluğunun qəti şəkildə rədd edildiyini bildirir, bu isə kriptoqrafik deyil, əhatə arqumentidir.

Bəzən törəmə SA-nın olmaması dizaynın özüdür. Törəməsiz IKE SA, məlumat assosiasiyasının tələb əsasında yaradılmalı olduğu yerlərdə istifadə edilən müəyyən edilmiş genişlənmədir, ona görə yoxluq düzgündür və uyğun trafik gəldikdə törəmə SA peyda olur. strongSwan-ın IKEv2 qeydləri həm tələb əsasında üslubu, həm də birinci halı həll edən təklif parametrlərini əhatə edir.

Nasazlığı diaqnoz etməzdən əvvəl tələb əsasında və ya tələ konfiqurasiyasını yoxlayın. Törəmə SA-lar gecikməli yaradılırsa, sakit vəziyyətdə törəmə SA-nın olmaması gözlənilən haldır və əsl sınaq trafiyin birini qaldırıb-qaldırmadığıdır. Bu sınaq həm də gecikməli dizaynı səssiz uğursuzluqdan ayırır, çünki uğursuz yaradılma tetikleyicini sadəcə sakit deyil, cavabsız qoyur.

Sonra məlumat yolunu soruşun

Törəmə SA mövcud olduqdan sonra növbəti suala sayğaclar cavab verir. ip -s xfrm state hər assosiasiya üzrə paket və bayt saylarını göstərir, və siz trafik yaradarkən heç nə daşımayan törəmə SA uyğunlaşdırmaya və ya marşrutlamaya işarə edir itkin assosiasiyaya deyil. swanctl --list-sas törəmə SA-nın seçicilərini həmin sayğacların yanında çap edir və paketin qəbul edilmiş çoxluğun içində olduğunu təsdiqləyən də elə budur.

Uğurlu autentifikasiyanı və uğursuz törəmə SA mübadiləsini hesabatda ayrı saxlayın. Autentifikasiyanın uğursuz olduğunu deyən hesabat növbəti mühəndisi sertifikat anbarına göndərir, dəqiq cümlə isə daha qısadır: IKE SA qalxdı, bu axın üçün törəmə SA isə heç vaxt qəbul edilmədi.

İki ucu uzlaşdırın

Özünüz idarə etdiyiniz sistem üçün eyni mübadilənin müştəri və şlüz qeydlərini götürün, bir saat fərqlə iki yenidən qoşulma cəhdini müqayisə etməyin. Bildirişlər hər iki tərəfdə uyğun olmalıdır və uyğun olmadıqda səhv konfiqurasiya edilmiş tərəfi tapmısınız.

Törəmə SA razılaşmasını düzəldin, sonra nəzərdə tutulan seçicinin içində trafiklə yenidən sınayın. İtkin obyektin artıq mövcud olduğunu sübut edən yeganə sınaq budur, çünki sakit vəziyyətdə yenilənən assosiasiyalar siyahısı düzəlişdən əvvəl və sonra eyni görünə bilər.