আপনার IKEv2 SA চালু আছে কিন্তু কোনো চাইল্ড SA নেই: বিনিময়টি পড়ুন

IKE বলে টানেল চালু আছে, চাইল্ড SA অনুপস্থিত, এবং দুটি বক্তব্যই একসঙ্গে সত্য হতে পারে। প্রতিষ্ঠিত নিয়ন্ত্রণ সম্পর্ক কোনো ডেটা অ্যাসোসিয়েশন নয়, এবং দুটি বস্তুর জীবৎকাল, দর-কষাকষি ও ব্যর্থতার ধরন আলাদা। প্রথমটিকে সংযোগ হিসেবে রিপোর্ট করলে টিকিট শেষে দাবি করে টানেল চালু আছে, অথচ কিছুই কাজ করে না। সংযোগের সারসংক্ষেপ লেবেলের বদলে অ্যাসোসিয়েশন তালিকাটি পড়ুন, কারণ ওই তালিকাই একমাত্র জায়গা যেখানে অনুপস্থিত বস্তুটি দেখা যায়। এরপর যে ক্রমে তালিকাটি অর্থবহ হয়, সেটিই বলা হচ্ছে।

দুটি অ্যাসোসিয়েশন, দুটি কাজ

একটি IKE SA নিয়ন্ত্রণ চ্যানেল বহন করে: পরিচয়, কী এবং নিয়ন্ত্রণ বিনিময়ের নিজস্ব প্রস্তাব। একটি চাইল্ড SA ESP সুরক্ষা বহন করে, নিজস্ব অ্যালগরিদম ও নিজস্ব ট্রাফিক সিলেক্টর নিয়ে। প্রমাণীকরণ ও চাইল্ড SA তৈরি সাধারণত একসঙ্গে চলে, কারণ প্রথম চাইল্ডটি IKE_AUTH-এর ভেতরে দর-কষাকষি হয়, আর এই জোড়াই মানুষকে বিচ্ছেদটি নিয়ে অবাক করে।

এটি আপনার সম্মুখীন হওয়া দুই ধরনের ব্যর্থতাও ব্যাখ্যা করে। প্রাথমিক বিনিময়ের সময় প্রত্যাখ্যাত চাইল্ড সাধারণত IKE SA-কেও নামিয়ে আনে, তাই কোনো প্রতিষ্ঠিত নিয়ন্ত্রণ চ্যানেলই দেখতে পান না। একা দাঁড়ানো IKE SA প্রায়ই বোঝায় প্রথম চাইল্ড সফল হয়েছে, আর পরে চাইল্ড তৈরির চেষ্টা ব্যর্থ হয়েছে, যেমন কী পুনর্নবীকরণের সময়। টাইমস্ট্যাম্প যেকোনো কনফিগারেশন পর্যালোচনার চেয়ে দ্রুত এই ঘটনাগুলো আলাদা করে।

কোন স্তরটি অস্বীকার করল

কোনো চাইল্ড প্রত্যাখ্যাত হলে নোটিফিকেশন স্তরটির নাম বলে। প্রস্তাব প্রত্যাখ্যান মানে পক্ষগুলো অ্যালগরিদম নিয়ে একমত হতে পারেনি, সাধারণত কারণ একপক্ষ ভিন্ন নিখুঁত ফরওয়ার্ড সিক্রেসি গ্রুপ বা এমন সাইফার দাবি করে যা অন্যপক্ষ মানবে না। সিলেক্টর প্রত্যাখ্যান মানে ট্রাফিক সেটটি সরাসরি প্রত্যাখ্যাত হয়েছে, এটি কভারেজের যুক্তি, ক্রিপ্টোগ্রাফিক যুক্তি নয়।

কখনও কখনও চাইল্ড না থাকাই নকশা। চাইল্ডবিহীন IKE SA একটি সংজ্ঞায়িত এক্সটেনশন, যা সেখানে ব্যবহৃত হয় যেখানে ডেটা অ্যাসোসিয়েশন চাহিদামতো তৈরি হওয়া উচিত, তাই অনুপস্থিতি সঠিক এবং মিলে যাওয়া ট্রাফিক এলে চাইল্ডটি দেখা যায়। strongSwan-এর IKEv2 টীকা চাহিদামতো ধরন ও প্রথম ঘটনাটি নির্ধারণ করা প্রস্তাব সেটিংস দুটোই কভার করে।

ত্রুটি নির্ণয়ের আগে চাহিদামতো বা ট্র্যাপ কনফিগারেশন আছে কি না দেখুন। চাইল্ডগুলো দেরিতে তৈরি হলে অলস অবস্থায় চাইল্ড না থাকাই প্রত্যাশিত অবস্থা, এবং আসল পরীক্ষা হলো ট্রাফিক একটি চাইল্ড তোলে কি না। এই পরীক্ষাটি অলস নকশাকে নীরব ব্যর্থতা থেকেও আলাদা করে, কারণ ব্যর্থ সৃষ্টি ট্রিগারটিকে শুধু অলস না রেখে উত্তরহীন রেখে যায়।

তারপর ডেটা পথের কথা জিজ্ঞাসা করুন

চাইল্ড থাকলে পরের প্রশ্নের উত্তর দেয় কাউন্টার। ip -s xfrm state প্রতি অ্যাসোসিয়েশনের প্যাকেট ও বাইট গণনা দেখায়, এবং ট্রাফিক তৈরি করার সময় কিছুই বহন করে না এমন চাইল্ড মিলানো বা রাউটিংয়ের দিকে ইশারা করে অনুপস্থিত অ্যাসোসিয়েশনের দিকে নয়। swanctl --list-sas ওই কাউন্টারের পাশে চাইল্ডের সিলেক্টরগুলো ছাপে, আর এটাই নিশ্চিত করে প্যাকেটটি গৃহীত সেটের ভেতরে আছে।

সফল প্রমাণীকরণ ও ব্যর্থ চাইল্ড বিনিময় রিপোর্টে আলাদা রাখুন। প্রমাণীকরণ ব্যর্থ হয়েছে বলে রিপোর্ট পরবর্তী প্রকৌশলীকে সার্টিফিকেট ভাণ্ডারে পাঠায়, আর সঠিক বাক্যটি অনেক ছোট: IKE SA উঠেছে, আর এই প্রবাহের চাইল্ড কখনও গৃহীত হয়নি।

দুই প্রান্ত মিলিয়ে দেখুন

নিজে চালানো সার্ভারের জন্য একই বিনিময়ের ক্লায়েন্ট ও গেটওয়ে লগ নিন, এক ঘণ্টা ব্যবধানে দুটি পুনঃসংযোগ প্রচেষ্টা তুলনা করবেন না। নোটিফিকেশন দুদিকেই মিলতে হবে, আর যেখানে মিলছে না সেখানে আপনি ভুল কনফিগার করা প্রান্তটি খুঁজে পেয়েছেন।

চাইল্ড দর-কষাকষি ঠিক করুন, তারপর উদ্দিষ্ট সিলেক্টরের ভেতরের ট্রাফিক দিয়ে আবার পরীক্ষা করুন। অনুপস্থিত বস্তুটি এখন আছে প্রমাণ করার একমাত্র পরীক্ষা এটিই, কারণ অলস অবস্থায় নবায়ন করা অ্যাসোসিয়েশন তালিকা ঠিক করার আগে ও পরে একই দেখাতে পারে।