IKE-SA je navázána, CHILD-SA chybí: kde se data zastaví

Klient tvrdí, že se autentizoval, stav IKE vypadá zdravě a počítadla paketů zůstávají na nule. Tahle kombinace není rozpor: IKEv2 drží řídicí vztah a datový vztah odděleně, a první může uspět, zatímco druhý se nikdy nezvedne. Rodič vede vyjednávání, potomek vede provoz. Čtěte obě vrstvy odděleně, než tunel prohlásíte za spadlý.

Co obě SA dělají

IKE-SA je řídicí vztah: autentizuje protějšky a nese výměny, které vyjednávají, nahrazují a odstraňují ochranu. Nikdy nenese pakety vašich aplikací. Zdravý rodič tedy dokazuje jen to, že se oba konce dokážou dohodnout na bezpečnostní politice, a nic víc.

CHILD-SA je datový vztah vytvořený pod rodičem, s provozními selektory a klíčovým materiálem pro jednu chráněnou sadu. Je směrový, takže výstup stavu uvádí příchozí a odchozí asociaci s oddělenými identifikátory a obvykle i oddělenými počítadly pro každý směr. Právě toto párování vysvětluje, proč jeden směr funguje, zatímco druhý padá, a proč fráze tunel je nahoře nic neříká o provozu. Jeden rodič může držet i několik potomků, a tak jediný štítek spojení skrývá ten, který potřebujete.

Čtěte záznamy potomků, ne štítek spojení

Otevřete stav rodiče a seznam potomků společně a najděte potomka, jehož selektory odpovídají toku, který testujete. Zapište jeho provozní selektory, vyjednané algoritmy, dobu života a počítadla v obou směrech. Pokud existuje několik potomků, porovnávejte podle selektorů, ne podle pozice, protože pozice se po obnově klíčů mění. Zapište identifikátory, než cokoli změníte.

Pokud rodič uvádí jinou provozní sadu než tu, kterou testujete, čtete špatného potomka. To je problém selektorů, ne rozbitý tunel.

Zapisujte i časová razítka. Obnova klíčů může nahradit jednu vrstvu, zatímco druhá zůstává navázaná, a potomek, který vypadá nově, může být náhradou za toho, který jste sledovali. Porovnejte identifikátory, než usoudíte, že potomek zmizel.

Když žádný potomek neexistuje

Autentizace může uspět, zatímco datový návrh nebo selektory selžou, a rodič zůstane úplně bez potomka. Obvyklou příčinou je neshoda algoritmu nebo neshoda provozních selektorů a oba protějšky si odmítnutý návrh zapíšou. Čtěte oba konce, protože strana, ke které se dostanete, může ukazovat jen odmítnutí. Opravte neshodu místo restartu rodiče, který opakuje stejné neúspěšné vyjednávání a přidává k důkazům výpadek.

Rodič, který se stále znovu navazuje, je jiná závada než rodič, který stojí bez potomka. Ve druhém případě logy pojmenují odmítnutý návrh, takže tento návrh seberte z obou konců, než upravíte politiku.

Když potomek existuje, ale počítadla zůstávají na nule

Pošlete nový požadavek, který odpovídá selektorům potomka. Požadavek na cíl mimo tuto politiku jeho počítadly nepohne, ať vypadá sebeúspěšněji.

Zkontrolujte trasu, která má tok dotlačit do tunelu, protože potomek bez provozu je často potomek, kam se nic nesměruje. Počítadla, která se hýbou jen jedním směrem, ukazují na neshodu selektorů nebo politiky na zpáteční cestě. Podívejte se na zpáteční selektory vzdáleného protějšku, než sáhnete na lokální stranu. Nový požadavek vám také dá časové razítko pro srovnání s výstupem stavu obou konců.

Pojmenujte vrstvu ve zprávě

Hlaste závadu jako tři pole, ne jako verdikt: vrstvu, která selhala, výměnu nebo potomka, kterého jste prohlédli, a důkazy, které máte. Vrstva je jedna ze tří: rodič se nikdy nenavázal, vyjednávání potomka bylo odmítnuto, nebo potomek existuje a provoz se k němu nedostane. Důkazem je identifikátor potomka s jeho selektory a počítadly, nebo odmítnutý návrh citovaný z obou logů. Kdokoli to přečte, může jít rovnou k výměně, na které záleží, místo aby se ptal, který VPN máte na mysli.

Dokumentace strongSwan k IKEv2 ukazuje, jak se tyto vrstvy objevují ve výstupu stavu. Přiložte výstup potomka, který jste testovali, ne jen shrnutí rodiče.