Mae eich SA IKEv2 i fyny ond nid oes SA plentyn: darllenwch y cyfnewid

Mae IKE yn dweud bod y twnnel i fyny, bod y SA plentyn ar goll, a gall y ddau ddatganiad fod yn wir ar yr un pryd. Nid yw perthynas reoli sefydledig yn gysylltiad data, ac mae gan y ddau wrthrych oes, trafodaethau a dulliau methu ar wahân. Adrodd y cyntaf fel cysylltedd yw'r ffordd y mae tocyn yn gorffen trwy honni bod y twnnel i fyny tra nad oes dim yn gweithio. Darllenwch y rhestr cysylltiadau yn hytrach na label cryno'r cysylltiad, oherwydd y rhestr honno yw'r unig le mae'r gwrthrych coll i'w weld. Yr hyn sy'n dilyn yw'r drefn y mae'r rhestr yn gwneud synnwyr ynddi.

Dau gysylltiad, dwy dasg

Mae SA IKE yn cario'r sianel reoli: hunaniaethau, allweddi a'r cynigion ar gyfer y cyfnewid rheoli ei hun. Mae SA plentyn yn cario gwarchodaeth ESP, gyda'i algorithmau ei hun a'i ddewiswyr traffig ei hun. Mae dilysu a chreu'r SA plentyn fel arfer yn teithio gyda'i gilydd, oherwydd mae'r SA plentyn cyntaf yn cael ei drafod y tu mewn i IKE_AUTH, a dyna'n union pam mae'r gwahanu yn synnu pobl.

Mae hefyd yn esbonio'r ddwy ffurf methu y byddwch yn dod ar eu traws. Mae SA plentyn a wrthodir yn ystod y cyfnewid cychwynnol fel arfer yn cwympo'r SA IKE gyda hi, felly ni welwch unrhyw sianel reoli sefydledig o gwbl. Mae SA IKE sy'n sefyll ar ei ben ei hun yn aml yn golygu bod y SA plentyn cyntaf wedi llwyddo ac bod ymgais ddiweddarach i greu SA plentyn wedi methu, er enghraifft yn ystod ail-allweddi. Mae stampiau amser yn gwahanu'r achosion hynny'n gyflymach nag unrhyw adolygiad o'r ffurfweddiad.

Pa haen a wrthododd

Pan wrthodir SA plentyn, mae'r hysbysiad yn enwi'r haen. Mae gwrthod cynnig yn golygu na allai'r partïon gytuno ar algorithmau, yn aml oherwydd bod un yn mynnu grŵp cyfrinach blaen berffaith gwahanol neu seiffr na fydd y llall yn ei dderbyn. Mae gwrthod dewisywr yn golygu bod y set traffig wedi'i gwrthod yn syth, sy'n ddadl cwmpas yn hytrach nag un gryptograffig.

Weithiau dim SA plentyn yw'r cynllun. Mae SA IKE heb SA plentyn yn estyniad diffiniedig a ddefnyddir lle dylid creu'r cysylltiad data ar alw, felly mae'r absenoldeb yn gywir ac mae'r SA plentyn yn ymddangos pan ddaw traffig cyfatebol. Nodiadau strongSwan ar IKEv2 yn ymdrin â'r dull ar alw a'r gosodiadau cynnig sy'n penderfynu'r achos cyntaf.

Gwiriwch am ffurfweddiad ar alw neu drap cyn diagnosio nam. Os crëir SAau plentyn yn ddiog, dim SA plentyn wrth segur yw'r cyflwr disgwyliedig a'r gwir brawf yw a yw traffig yn codi un. Mae'r prawf hwnnw hefyd yn gwahanu cynllun diog oddi wrth fethiant distaw, oherwydd mae creu a fethodd yn gadael y sbardun heb ateb yn hytrach nag yn segur yn unig.

Yna gofynnwch am y llwybr data

Unwaith y bydd SA plentyn yn bodoli, mae'r rhifyddion yn ateb y cwestiwn nesaf. ip -s xfrm state yn adrodd cyfrifon pecynnau a beitiau fesul cysylltiad, ac mae SA plentyn nad yw'n cario dim tra eich bod yn cynhyrchu traffig yn awgrymu paru neu lwybr yn hytrach nag at gysylltiad ar goll. swanctl --list-sas yn argraffu dewiswyr y SA plentyn wrth ymyl y rhifyddion hynny, a dyna sy'n cadarnhau bod y pecyn yn eistedd o fewn y set a dderbyniwyd.

Cadwch y dilysu llwyddiannus a'r cyfnewid SA plentyn a fethodd ar wahân yn yr adroddiad. Mae adroddiad sy'n dweud bod dilysu wedi methu yn anfon y peiriannydd nesaf i'r storfa dystysgrifau, ac mae'r frawddeg gywir yn llawer byrrach: cododd yr SA IKE, ac ni dderbyniwyd y SA plentyn ar gyfer y llif hwn erioed.

Cydberthyn y ddau ben

Ar gyfer gweinydd rydych yn ei redeg eich hun, cymerwch logiau'r cleient a'r giât ar gyfer yr un cyfnewid yn hytrach na chymharu dau ymgais ailgysylltu awr ar wahân. Dylai'r hysbysiadau gyfateb ar y ddwy ochr, a lle nad ydynt yn cyfateb, rydych wedi dod o hyd i'r ochr sydd wedi'i chamgyflunio.

Cywirwch drafodaeth y SA plentyn, yna ailbrofwch â thraffig o fewn y dewisywr a fwriadwyd. Dyma'r unig brawf sy'n profi bod y gwrthrych coll bellach yn bresennol, oherwydd gall rhestr cysylltiadau a adnewyddwyd wrth segur edrych yn unfath cyn ac ar ôl y cywiriad.