La vostra SA IKEv2 està activa però no hi ha SA filla: llegiu l'intercanvi

IKE diu que el túnel està aixecat, que la SA filla falta, i les dues afirmacions poden ser certes alhora. Una relació de control establerta no és una associació de dades, i els dos objectes tenen temps de vida, negociacions i modes de fallada separats. Informar la primera com a connectivitat és com acaba un tiquet afirmant que el túnel està aixecat mentre res funciona. Llegiu la llista d'associacions en lloc de l'etiqueta resum de la connexió, perquè aquesta llista és l'únic lloc on l'objecte que falta és visible. El que segueix és l'ordre en què la llista té sentit.

Dues associacions, dues feines

Una SA IKE porta el canal de control: identitats, claus i les propostes per al mateix intercanvi de control. Una SA filla porta la protecció ESP, amb els seus propis algorismes i els seus propis selectors de trànsit. L'autenticació i la creació de la SA filla solen viatjar juntes, perquè la primera SA filla es negocia dins d'IKE_AUTH, i aquesta agrupació és exactament allò que sorprèn la gent de la separació.

També explica les dues formes de fallada que trobareu. Una SA filla rebutjada durant l'intercanvi inicial normalment arrossega la SA IKE, de manera que no veieu cap canal de control establert. Una SA IKE que queda sola més sovint vol dir que la primera SA filla ha tingut èxit i que un intent posterior de crear-ne una altra ha fallat, per exemple durant una rotació de claus. Les marques de temps separen aquests casos més de pressa que qualsevol revisió de la configuració.

Quina capa va refusar

Quan es rebutja una SA filla, la notificació anomena la capa. Un rebuig de proposta vol dir que les parts no s'han pogut posar d'acord sobre els algorismes, sovint perquè una exigeix un grup de secret perfecte cap endavant diferent o un xifratge que l'altra no acceptarà. Un rebuig de selector vol dir que el conjunt de trànsit ha estat refusat directament, i això és un argument de cobertura, no criptogràfic.

De vegades l'absència de SA filla és el disseny. Una SA IKE sense SA filla és una extensió definida que s'usa on l'associació de dades s'ha de crear a demanda, així que l'absència és correcta i la SA filla apareix quan arriba trànsit coincident. Les notes de strongSwan sobre IKEv2 cobreixen tant l'estil a demanda com els paràmetres de la proposta que decideixen el primer cas.

Comproveu si hi ha una configuració a demanda o de parany abans de diagnosticar una fallada. Si les SA filles es creen mandrosament, cap SA filla en repòs és l'estat esperat i la prova real és si el trànsit n'aixeca una. Aquesta prova també separa un disseny mandrós d'una fallada silenciosa, perquè una creació fallida deixa el disparador sense resposta en lloc de simplement en repòs.

Després pregunteu pel camí de dades

Un cop hi ha una SA filla, els comptadors responen la pregunta següent. ip -s xfrm state informa els recomptes de paquets i bytes per associació, i una SA filla que no porta res mentre genereu trànsit assenyala una coincidència o l'encaminament en lloc d'una associació que falta. swanctl --list-sas imprimeix els selectors de la SA filla al costat d'aquests comptadors, i això és el que confirma que el paquet seu dins del conjunt acceptat.

Manteniu l'autenticació reeixida i l'intercanvi fallit de la SA filla per separat a l'informe. Un informe que diu que l'autenticació ha fallat envia el següent enginyer al magatzem de certificats, i la frase exacta és molt més curta: la SA IKE es va aixecar, i la SA filla per a aquest flux no es va acceptar mai.

Correlacioneu els dos extrems

Per a un servidor que executeu vosaltres, agafeu els registres del client i de la passarel·la del mateix intercanvi en lloc de comparar dos intents de reconnexió amb una hora de diferència. Les notificacions haurien de coincidir als dos costats, i on no coincideixen heu trobat el costat mal configurat.

Corregiu la negociació de la SA filla, i després torneu a provar amb trànsit dins del selector previst. Aquesta és l'única prova que demostra que l'objecte que faltava ara hi és, perquè una llista d'associacions refrescada en repòs pot semblar idèntica abans i després de la correcció.