IPsec tuneliniz niyə ilk CHILD SA açar yenilənməsinə qədər işləyir

Tunel qalxdı, ping cavab verdi və hamı təsdiqlədi. Dörd saat sonra sessiya düşür, həmyaşıdlar təklif və ya açar mübadiləsi xətası qeyd edir və ilk ehtimal şəbəkədə nəyinsə dəyişdiyi olur. Heç nə dəyişmədi. Trafik daşıyan tunel iki həmyaşıdın necə doğrulama və ilk child assosiasiyasını necə qoruma barədə razılaşdığını sübut etdi və yenilənmədə tələb edəcəkləri açar mübadiləsi barədə heç nə sübut etmədi. Uyğunsuzluq bu iki hadisə arasındakı boşluqda yerləşir.

Bağlantı PFS parametrlərinin uyğun olduğunu bildirmir

IKEv2 ilə ilk child assosiasiyası doğrulama mübadiləsi zamanı yaradılır və onun açarları IKE assosiasiyasının artıq istehsal etdiyi materialdan çıxarılır. Həmin child üçün ayrıca Diffie-Hellman mübadiləsi baş vermir, ona görə yenilənmədə onu tələb edən siyasət qurulma mərhələsində sınaqdan keçmir.

Yenilənmə başqa bir mübadilədir. Child assosiasiyasının açarı yenilənəndə həmyaşıdlar təkliflərində adlandırılan qrupla yeni açar mübadiləsi apara bilər və bu, qrup parametrlərinin ilk dəfə müqayisə olunduğu məqamdır. Buna görə uyğunsuz iki həmyaşıd doğrulaya, child assosiasiyası qura və trafiki ötürə, sonra isə açar yenilənməsində uğursuz ola bilər.

Uyğunsuzluq təklif sətrində harada gizlənir

strongSwan-da qrup child təklifinə əlavə olunur, buna görə aes256gcm16-prfsha256-ecp256 sətri şifrələmə seçimi kimi görünür, amma həm də açar mübadiləsi tələbi daşıyır. Yalnız aes256gcm16-prfsha256 təklif edən həmyaşıdda belə tələb yoxdur və iki siyahı şifrələmədə kəsişir, mübadilədə isə uyğunsuzdur.

Child təklifini və IKE təklifini ayrı siyahılar kimi oxuyun. IKE siyahısında görünən qrup child siyahısı barədə heç nə demir və birini digərini oxuyarkən redaktə etmək bunun ən adi qaçırılma yoludur.

Uğursuzluğu oxuyun, redaktə etdiyiniz faylı yox

Mübadiləni bitirən notify-i tapın. Məqbul təklif qaytarmayan child açar yenilənməsi təklif siyahılarına işarə edir; cavab almayan yenilənmə sorğusu yoluna və ya dinləməni dayandırmış həmyaşıda işarə edir. Bu ikisi fərqli düzəlişlər tələb edir və log sətrinin ifadəsi onları ayırır.

Diskdəki deyil, işləyən konfiqurasiyanı təsdiqləyin. Yadda saxlanılıb yüklənməmiş fayl və ya başqa include-dan yenidən oxunmuş bağlantı, görünən faylı nə qədər redaktə etsəniz də düzəlməyəcək uyğunsuzluq yaradır.

Hamısı açar yenilənməsi adlanan üç hadisə

IKE assosiasiyasının açarının yenilənməsi, IKE yenidən doğrulaması və child assosiasiyasının açarının yenilənməsi ayrı təklif qaydaları olan ayrı əməliyyatlardır. Onlardan birində bildirilən uğursuzluq digərləri barədə birbaşa heç nə demir və onları qarışdıran log üç olduğu halda tək təkrarlanan nasazlıq kimi oxunur.

Həmyaşıdın hansı hadisəni adlandırdığına baxın, sonra yalnız o hadisənin təkliflərini yoxlayın. Bir siyahını dəyişin, yenidən yükləyin və eyni hadisəni təkrar məcbur edin. Log yenidən doğrulama adlandırırsa, oxunmalı olan IKE təklifidir. Child açar yenilənməsi adlandırırsa, vacib qrupu child təklifi daşıyır.

Yenilənməni söndürmək həll deyil

Açar yenilənmə vaxtını sıfıra qoymaq uğursuz olan mübadiləni boğur və tunel sökülənə və ya həmyaşıd yenidən başlayana qədər yaşayır. Aldığınız şey daha uzun ömürlü açar və miqrasiya, audit və ya təchizatçı yeniləməsi zamanı yenidən qarşınıza çıxacaq uyğunsuzluqdur. Eyni şey qarşı tərəfin gözlədiyi siyasətdən qat-qat uzağa uzadılmış ömürlərə də aiddir.

Əvəzində təklifləri uyğunlaşdırın. Hər iki həmyaşıdın tətbiq etdiyi qrupu seçin, onu hər iki tərəfdə child təklifinə qoyun və yenilənmə siyasətini təşkilatın həqiqətən tələb etdiyi aralıqda saxlayın.

Bunu uğursuz olan mübadilə ilə sübut edin

Child açar yenilənmə vaxtını texniki xidmət pəncərəsində qısaldın ki, hadisə saatlarla deyil, dəqiqələrlə gəlsin, ya da əl ilə child açar yenilənməsi işə salın. Sonra uğurlu yenilənməni gözləyin və trafikin onun içindən davam etdiyini təsdiqləyin, çünki child assosiasiyası qurub tətbiq axınını itirən yeni əl sıxışma başqa bir qüsurdur.

Sonra normal ömrü bərpa edin və hər iki hadisə qeydini — uğursuzu və uğurlusunu — saxlayın. İstədiyiniz sübut bağlantının öz həyat dövrünü keçməsidir, ping-i keçməsi deyil.