Vaše SA IKEv2 je nahoře, ale podřízená SA chybí: přečtěte si výměnu

IKE říká, že tunel je nahoře, podřízená SA chybí, a obě tvrzení mohou platit současně. Navázaný řídicí vztah není datová asociace a oba objekty mají oddělené životnosti, vyjednávání a režimy selhání. Nahlásit první jako konektivitu je způsob, jakým tiket nakonec tvrdí, že tunel je nahoře, zatímco nic nefunguje. Čtěte seznam asociací, ne souhrnný štítek spojení, protože tento seznam je jediné místo, kde je chybějící objekt vidět. Následuje pořadí, ve kterém seznam dává smysl.

Dvě asociace, dvě práce

SA IKE nese řídicí kanál: identity, klíče a návrhy pro samotnou řídicí výměnu. Podřízená SA nese ochranu ESP s vlastními algoritmy a vlastními selektory provozu. Autentizace a vytvoření podřízené SA obvykle jdou spolu, protože první podřízená SA se vyjednává uvnitř IKE_AUTH, a právě toto spojení lidi na rozdělení zaskočí.

Vysvětluje to také dvě podoby selhání, se kterými se setkáte. Podřízená SA odmítnutá během počáteční výměny obvykle strhne i SA IKE, takže nevidíte žádný navázaný řídicí kanál. SA IKE stojící sama častěji znamená, že první podřízená SA uspěla a pozdější pokus o vytvoření podřízené SA selhal, například při obnově klíčů. Časová razítka tyto případy oddělí rychleji než jakákoli kontrola konfigurace.

Která vrstva odmítla

Když je podřízená SA odmítnuta, oznámení pojmenuje vrstvu. Odmítnutí návrhu znamená, že se strany nedohodly na algoritmech, často protože jedna vyžaduje jinou skupinu dokonalého dopředného utajení nebo šifru, kterou druhá nepřijme. Odmítnutí selektoru znamená, že množina provozu byla odmítnuta přímo, což je argument pokrytí, nikoli kryptografický.

Někdy je nepřítomnost podřízené SA záměrem. SA IKE bez podřízené SA je definované rozšíření používané tam, kde se datová asociace má vytvářet na vyžádání, takže nepřítomnost je správná a podřízená SA se objeví, když dorazí odpovídající provoz. Poznámky strongSwan k IKEv2 pokrývají jak styl na vyžádání, tak nastavení návrhu, která rozhodují o prvním případě.

Před diagnostikou závady zkontrolujte konfiguraci na vyžádání nebo past. Pokud se podřízené SA vytvářejí líně, nepřítomnost podřízené SA v klidu je očekávaný stav a skutečný test je, zda provoz nějakou zvedne. Tento test také odděluje líný návrh od tichého selhání, protože neúspěšné vytvoření nechá spouštěč bez odpovědi, místo aby byl jen v klidu.

Pak se ptejte na datovou cestu

Jakmile podřízená SA existuje, čítače odpovídají na další otázku. ip -s xfrm state hlásí počty paketů a bajtů pro každou asociaci a podřízená SA, která nic nenese, zatímco generujete provoz, ukazuje na párování nebo směrování na chybějící asociaci. swanctl --list-sas vypisuje selektory podřízené SA vedle těchto čítačů a to potvrzuje, že paket leží uvnitř přijaté množiny.

Držte úspěšnou autentizaci a neúspěšnou výměnu podřízené SA v zápisu odděleně. Zpráva, která říká, že autentizace selhala, posílá dalšího inženýra do úložiště certifikátů, a přesná věta je mnohem kratší: SA IKE se zvedla a podřízená SA pro tento tok nebyla nikdy přijata.

Spojte oba konce

Pro server, který provozujete sami, vezměte logy klienta a brány pro stejnou výměnu, místo abyste porovnávali dva pokusy o opětovné připojení hodinu od sebe. Oznámení by se měla shodovat na obou stranách, a tam, kde se neshodují, jste našli špatně nakonfigurovanou stranu.

Opravte vyjednávání podřízené SA a potom znovu otestujte s provozem uvnitř zamýšleného selektoru. To je jediný test, který dokazuje, že chybějící objekt je nyní přítomen, protože seznam asociací obnovený v klidu může vypadat stejně před opravou i po ní.