IKE-SA е установена, CHILD-SA липсва: къде спират данните

Клиентът казва, че удостоверяването е минало, състоянието на IKE изглежда здраво, а броячите на пакетите стоят на нула. Тази комбинация не е противоречие: IKEv2 държи контролната връзка и връзката за данни разделени, и първата може да успее, докато втората така и не се вдигне. Родителят води преговорите, детето поема трафика. Четете двата слоя поотделно, преди да обявите тунела за свален.

Какво правят двете SA

IKE-SA е контролната връзка: тя удостоверява страните и носи обмените, които договарят, заменят и премахват защитата. Тя никога не носи пакетите на приложенията ви. Затова здравият родител доказва само, че двата края могат да се споразумеят за политика за сигурност, и нищо повече.

CHILD-SA е връзката за данни, създадена под родителя, със селектори на трафика и ключов материал за един защитен набор. Тя е насочена, затова изходът на състоянието показва входяща и изходяща асоциация с отделни идентификатори и обикновено отделни броячи за всяка посока. Точно това сдвояване е причината една посока да работи, докато другата пада, и фразата тунелът е вдигнат да не казва нищо за трафика. Един родител може да държи няколко деца и така една единствена етикета на връзка скрива това, което ви трябва.

Четете записите на децата, не етикета на връзката

Отворете състоянието на родителя и списъка с деца заедно и намерете детето, чиито селектори съвпадат с потока, който тествате. Запишете селекторите му на трафика, договорените алгоритми, живота му и броячите в двете посоки. Ако има няколко деца, съпоставяйте по селектори, а не по позиция, защото позицията се променя след подмяна на ключове. Запишете идентификаторите, преди да промените нещо.

Ако родителят показва различен набор трафик от този, който тествате, четете грешното дете. Това е проблем със селекторите, а не счупен тунел.

Записвайте и времевите марки. Подмяната на ключове може да замени един слой, докато другият остава установен, и дете, което изглежда ново, може да е замяната на това, което сте наблюдавали. Сравнете идентификаторите, преди да заключите, че дете е изчезнало.

Когато няма дете

Удостоверяването може да успее, докато предложението за данни или селекторите се провалят, и родителят остава съвсем без дете. Обичайната причина е несъответствие в алгоритъма или в селекторите на трафика, и двете страни записват отказаното предложение. Четете двата края, защото страната, до която стигате, може да показва само отказа. Отстранете несъответствието, вместо да рестартирате родителя, защото това повтаря същите неуспешни преговори и добавя прекъсване към доказателствата.

Родител, който постоянно се установява наново, е различен отказ от родител, който стои без дете. Във втория случай журналите назовават отказаното предложение, затова съберете това предложение от двата края, преди да редактирате политика.

Когато детето съществува, но броячите стоят на нула

Изпратете ново искане, което съвпада със селекторите на детето. Искане към дестинация извън тази политика няма да раздвижи броячите му, колкото и успешно да изглежда.

Проверете маршрута, който трябва да избута потока в тунела, защото дете без трафик често е дете, към което нищо не се маршрутизира. Броячи, които мърдат само в една посока, сочат несъответствие в селекторите или политиката по обратния път. Погледнете обратните селектори на отдалечената страна, преди да пипате локалната. Новото искане ви дава и времева марка за сверка с изхода на състоянието от двата края.

Назовете слоя в доклада

Докладвайте отказа като три полета, а не като присъда: слоят, който е отказал, обменът или детето, което сте прегледали, и доказателствата, които имате. Слоят е един от три: родителят така и не се установи, преговорите за детето бяха отказани, или дете съществува и трафикът не го достига. Доказателството е идентификаторът на детето с неговите селектори и броячи или отказаното предложение, цитирано от двата журнала. Всеки, който го прочете, може да отиде направо при важния обмен, вместо да пита кой VPN имате предвид.

Документацията на strongSwan за IKEv2 показва как тези слоеве изглеждат в изхода на състоянието. Приложете изхода на детето, което тествахте, а не само обобщението на родителя.