Ваш SA IKEv2 падняты, але даччынага SA няма: прачытайце абмен

IKE кажа, што тунель падняты, даччыны SA адсутнічае, і абодва сцвярджэнні могуць быць праўдзівымі адначасова. Усталяваная кіравальная сувязь не з'яўляецца сувяззю даных, і ў двух аб'ектаў асобныя тэрміны жыцця, перамовы і рэжымы адмовы. Паведамленне пра першае як пра злучэнне вядзе да таго, што заяўка ўрэшце сцвярджае, нібы тунель падняты, а нічога не працуе. Чытайце спіс сувязяў, а не зводную метку злучэння, бо гэты спіс адноснае месца, дзе бачны адсутны аб'ект. Далей ідзе парадак, у якім спіс набывае сэнс.

Дзве сувязі, дзве працы

SA IKE трымае кіравальны канал: ідэнтычнасці, ключы і прапановы для самога кіравальнага абмену. Даччыны SA трымае абарону ESP са сваімі алгарытмамі і сваімі селектарамі трафіку. Аўтэнтыфікацыя і стварэнне даччынага SA звычайна ідуць разам, бо першы даччыны SA ўзгадняецца ўнутры IKE_AUTH, і менавіта гэтая звязка здзіўляе людзей раздзяленнем.

Гэта таксама тлумачыць дзве формы адмовы, з якімі вы сустрэнецеся. Даччыны SA, адхілены падчас пачатковага абмену, звычайна валіць за сабой і SA IKE, таму вы зусім не бачыце ўсталяванага кіравальнага канала. SA IKE, які стаіць адзін, часцей за ўсё азначае, што першы даччыны SA атрымаўся, а позняя спроба стварыць даччыны SA правалілася, напрыклад падчас перазамены ключоў. Часавыя пазнакі аддзяляюць гэтыя выпадкі хутчэй за любы агляд канфігурацыі.

Які ўзровень адмовіў

Калі даччыны SA адхілены, апавяшчэнне называе ўзровень. Адмова прапановы азначае, што бакі не змаглі дамовіцца пра алгарытмы, часцей за ўсё таму, што адзін патрабуе іншую групу дасканалай прамой сакрэтнасці або шыфр, які другі не прыме. Адмова селектара азначае, што набор трафіку быў адхілены наўпрост, і гэта аргумент пра пакрыццё, а не пра крыптаграфію.

Часам адсутнасць даччынага SA гэта задума. SA IKE без даччынага SA вызначанае пашырэнне, якое ўжываюць там, дзе сувязь даных павінна стварацца па запытанні, таму адсутнасць слушная, а даччыны SA з'яўляецца, калі прыходзіць адпаведны трафік. Нататкі strongSwan пра IKEv2 апісваюць як стыль па запытанні, так і налады прапановы, якія вырашаюць першы выпадак.

Праверце канфігурацыю па запытанні або пасткі, перш чым дыягнаставаць збой. Калі даччыныя SA ствараюцца ляніва, адсутнасць даччынага SA ў спакоі чаканы стан, і сапраўдная праверка ў тым, ці трафік стварае адзін. Гэтая праверка аддзяляе лянівую задуму ад маўклівай адмовы, бо няўдалае стварэнне пакідае трыгер без адказу, а не проста ў спакоі.

Затым пытайцеся пра шлях даных

Калі даччыны SA існуе, лічыльнікі адказваюць на наступнае пытанне. ip -s xfrm state паказвае колькасць пакетаў і байтаў па кожнай сувязі, і даччыны SA, які нічога не нясе, пакуль вы ствараеце трафік, паказвае на супастаўленне або маршрутызацыю на адсутную сувязь. swanctl --list-sas друкуе селектары даччынага SA побач з гэтымі лічыльнікамі, і менавіта гэта пацвярджае, што пакет знаходзіцца ўнутры прынятага набору.

Трымайце паспяховую аўтэнтыфікацыю і няўдалы абмен даччынага SA асобна ў зводцы. Справаздача, якая кажа, што аўтэнтыфікацыя правалілася, накіроўвае наступнага інжынера да сховішча сертыфікатаў, а дакладны сказ значна карацейшы: SA IKE падняўся, а даччыны SA для гэтага патоку так і не быў прыняты.

Супастаўце два канцы

Для сервера, які вы ўтрымліваеце, вазьміце журналы кліента і шлюза для аднаго і таго ж абмену, а не параўноўвайце дзве спробы перападключэння з розніцай у гадзіну. Апавяшчэнні павінны супадаць з абодвух бакоў, а там, дзе яны не супадаюць, вы знайшлі бок з няправільнай канфігурацыяй.

Выпраўце перамовы даччынага SA, затым паўтарыце тэст з трафікам унутры патрэбнага селектара. Гэта адзіны тэст, які даказвае, што адсутны аб'ект цяпер прысутнічае, бо спіс сувязяў, абноўлены ў спакоі, можа выглядаць аднолькава да выпраўлення і пасля.