IKE-SA усталявана, CHILD-SA адсутнічае: дзе спыняюцца даныя

Кліент кажа, што аўтэнтыфікацыя прайшла, стан IKE выглядае здаровым, а лічыльнікі пакетаў трымаюцца на нулі. Гэтае спалучэнне не супярэчнасць: IKEv2 трымае кіруючыя адносіны і адносіны даных асобна, і першыя могуць атрымацца, а другія так і не ўзнікнуць. Бацькоўскі бок вядзе перамовы, даччыны бок вядзе рух. Чытайце два пласты асобна, перш чым абвяшчаць тунель непрацаздольным.

Што робяць два SA

IKE-SA — гэта кіруючыя адносіны: ён аўтэнтыфікуе бакоў і нясе абмены, якія ўзгадняюць, замяняюць і выдаляюць абарону. Ён ніколі не нясе пакеты вашых праграм. Таму здаровы бацькоўскі бок даказвае толькі тое, што два канцы могуць дамовіцца пра палітыку бяспекі, і нічога больш.

CHILD-SA — гэта адносіны даных, створаныя пад бацькоўскім бокам, з селектарамі трафіку і ключавым матэрыялам для аднаго абароненага набору. Ён накіраваны, таму вывад стану паказвае ўваходнае і выходнае аб'яднанне з асобнымі ідэнтыфікатарамі і звычайна асобнымі лічыльнікамі для кожнага кірунку. Менавіта таму адзін кірунак можа працаваць, пакуль другі падае, і таму фраза тунель узняты нічога не кажа пра трафік. Адзін бацькоўскі бок можа трымаць некалькі даччыных, і менавіта так адзіная назва злучэння хавае патрэбнае.

Чытайце запісы даччыных, а не назву злучэння

Адкрыйце стан бацькоўскага боку і спіс даччыных разам і знайдзіце даччыны, селектары якога адпавядаюць патоку, які вы тэстуеце. Запішыце яго селектары трафіку, узгодненыя алгарытмы, тэрмін жыцця і лічыльнікі ў абодвух кірунках. Калі даччыных некалькі, супастаўляйце па селектарах, а не па пазіцыі, бо пазіцыя змяняецца пасля перазамены ключоў. Запішыце ідэнтыфікатары, перш чым нешта змяняць.

Калі бацькоўскі бок паказвае іншы набор трафіку, чым той, які вы тэстуеце, вы чытаеце не таго даччынага. Гэта праблема селектараў, а не зламаны тунель.

Запісвайце таксама адзнакі часу. Перазамена ключоў можа замяніць адзін пласт, пакуль другі застаецца ўсталяваным, і даччыны, які выглядае новым, можа быць заменай таго, за якім вы назіралі. Параўнайце ідэнтыфікатары, перш чым рабіць выснову, што даччыны знік.

Калі даччынага няма

Аўтэнтыфікацыя можа прайсці, а прапанова даных або селектары — не, і бацькоўскі бок застаецца зусім без даччынага. Звычайная прычына — несупадзенне алгарытму або селектараў трафіку, і абодва бакі запісваюць адхіленую прапанову. Чытайце абодва канцы, бо бок, да якога вы дацягваецеся, можа паказваць толькі адмову. Выпраўце несупадзенне замест перазапуску бацькоўскага боку, бо гэта паўторыць тую ж няўдалую перамову і дадасць прастой да доказаў.

Бацькоўскі бок, які ўвесь час пераўсталёўваецца, — гэта іншая адмова, чым бацькоўскі бок, які стаіць без даччынага. У другім выпадку журналы называюць адхіленую прапанову, таму сабярыце гэтую прапанову з абодвух канцоў, перш чым правіць палітыку.

Калі даччыны ёсць, а лічыльнікі стаяць на нулі

Дайце новы запыт, які адпавядае селектарам даччынага. Запыт да прызначэння па-за гэтай палітыкай не зрушыць яго лічыльнікі, якім бы паспяховым ён ні выглядаў.

Праверце маршрут, які павінен штурхаць паток у тунель, бо даччыны без трафіку часта аказваецца такім, куды нічога не маршрутызуецца. Лічыльнікі, што рухаюцца толькі ў адзін бок, указваюць на несупадзенне селектараў або палітыкі на зваротным шляху. Паглядзіце на зваротныя селектары далёкага боку, перш чым кранаць лакальны. Новы запыт таксама дае адзнаку часу для супастаўлення з вывадам стану абодвух канцоў.

Назавіце пласт у справаздачы

Паведамляйце пра адмову як пра тры палі, а не як пра прысуд: пласт, які адмовіў, абмен або даччыны, які вы агледзелі, і доказы, якія ў вас ёсць. Пласт — адзін з трох: бацькоўскі бок так і не ўсталяваўся, перамовы даччынага адхілены, або даччыны ёсць і трафік да яго не даходзіць. Доказы — гэта ідэнтыфікатар даччынага з яго селектарамі і лічыльнікамі або адхіленая прапанова, працытаваная з абодвух журналаў. Хто гэта чытае, можа адразу перайсці да патрэбнага абмену, а не пытацца, які VPN вы маеце на ўвазе.

Дакументацыя strongSwan па IKEv2 паказвае, як гэтыя пласты выглядаюць у вывадзе стану. Далучыце вывад даччынага, які вы тэставалі, а не толькі зводку бацькоўскага боку.