Pam fod eich twndwl IPsec yn gweithio tan yr ail-allweddiad CHILD SA cyntaf

Cododd y twndwl, atebodd y ping, ac arwyddodd pawb. Bedair awr yn ddiweddarach mae’r sesiwn yn disgyn, mae’r cymheiriaid yn cofnodi gwall cynnig neu gyfnewidiad allwedd, a’r dyfaliad cyntaf yw bod rhywbeth wedi newid ar y rhwydwaith. Ni newidiodd dim. Mae twndwl sy’n cario traffig wedi profi bod y ddau gymhaer yn cytuno sut i ddilysu a sut i amddiffyn y gymdeithas blentyn gyntaf, ac nid yw wedi profi dim am y cyfnewidiad allwedd y byddant yn ei fynnu wrth adnewyddu. Mae’r anghysondeb yn gorwedd yn y bwlch rhwng y dau ddigwyddiad hynny.

Nid yw bod yn gysylltiedig yn golygu bod y gosodiadau PFS yn cytuno

Gyda IKEv2, crëir y gymdeithas blentyn gyntaf yn ystod y cyfnewidiad dilysu, ac mae ei hallweddau’n deillio o ddeunydd a gynhyrchwyd eisoes gan gymdeithas IKE. Nid oes cyfnewidiad Diffie-Hellman ar wahân ar gyfer y plentyn hwnnw, felly nid yw polisi sy’n mynnu un wrth adnewyddu yn cael ei brofi wrth godi.

Mae adnewyddu’n gyfnewidiad gwahanol. Pan ail-allweddir cymdeithas blentyn, gall y cymheiriaid wneud cyfnewidiad allwedd newydd gyda’r grŵp a enwir yn eu cynigion, a dyna’r eiliad gyntaf y cymharir gosodiadau’r grŵp. Felly gall cymheiriaid sy’n anghytuno ddilysu, gosod cymdeithas blentyn a throsglwyddo traffig, ac yna methu’r ail-allweddiad.

Ble mae’r anghysondeb yn cuddio yn y llinyn cynnig

Yn strongSwan mae’r grŵp yn cael ei atodi at y cynnig plentyn, a dyna pam mae llinyn fel aes256gcm16-prfsha256-ecp256 yn edrych fel dewis amgryptio ond hefyd yn cario gofyniad cyfnewidiad allwedd. Nid oes gan gymhaer sy’n cynnig dim ond aes256gcm16-prfsha256 y gofyniad hwnnw, ac mae’r ddwy restr yn croesi ar amgryptio tra’n anghytuno ar y cyfnewidiad.

Darllenwch y cynnig plentyn a’r cynnig IKE fel rhestrau ar wahân. Nid yw grŵp sy’n ymddangos yn rhestr IKE yn dweud dim am restr y plentyn, a golygu’r naill wrth ddarllen y llall yw’r ffordd arferol y caiff hyn ei fethu.

Darllenwch y methiant, nid y ffeil a olygwyd gennych

Dewch o hyd i’r notify a ddaeth â’r cyfnewidiad i ben. Mae ail-allweddiad plentyn sy’n dychwelyd „dim cynnig derbyniol“ yn pwyntio at y rhestrau cynnig; mae cais ail-allweddu nad yw byth yn cael ateb yn pwyntio at y llwybr neu at gymhaer sydd wedi stopio gwrando. Mae’r ddau’n gofyn am wahanol atgyweiriadau, ac mae geiriad y llinell log yn eu gwahanu.

Cadarnhewch y gosodiad sy’n rhedeg, nid yr un ar y disg. Bydd ffeil a gadwyd ond na lwythwyd, neu gysylltiad a ailddarllenwyd o include gwahanol, yn cynhyrchu anghysondeb na all unrhyw olygu ar y ffeil weladwy ei drwsio.

Tri digwyddiad y gelwir pob un ohonynt yn ail-allweddiad

Mae ail-allweddu cymdeithas IKE, ailddilysu IKE ac ail-allweddu cymdeithas blentyn yn weithrediadau ar wahân â rheolau cynnig ar wahân. Nid yw methiant a adroddwyd ar un ohonynt yn dweud dim yn uniongyrchol am y lleill, ac mae log sy’n eu cymysgu yn darllen fel un diffyg ailadroddus pan fo tri.

Nodwch pa ddigwyddiad y mae’r cymhaer yn ei enwi, yna gwiriwch y cynigion ar gyfer y digwyddiad hwnnw yn unig. Newidiwch un rhestr, ail-lwythwch, a gorfodwch yr un digwyddiad eto. Os yw’r log yn enwi ailddilysu, y cynnig IKE yw’r un i’w ddarllen. Os yw’n enwi ail-allweddiad plentyn, y cynnig plentyn sy’n cario’r grŵp sy’n bwysig.

Nid yw diffodd adnewyddu yn atgyweiriad

Mae gosod amser ail-allweddu i sero yn atal y cyfnewidiad sy’n methu, ac mae’r twndwl wedyn yn goroesi nes iddo gael ei ddymchwel neu nes i’r cymhaer ailgychwyn. Yr hyn a brynwyd gennych yw allwedd sy’n para’n hirach ac anghysondeb a fydd yn eich cyfarfod eto yn ystod mudo, archwiliad neu ddiweddariad gan werthwr. Mae’r un peth yn wir am oesau a estynnwyd ymhell y tu hwnt i’r polisi y mae’r ochr arall yn ei ddisgwyl.

Aliniwch y cynigion yn lle hynny. Dewiswch grŵp y mae’r ddau gymhaer yn ei weithredu, rhowch ef yng nghynnig y plentyn ar y ddau ben, a chadwch y polisi adnewyddu o fewn yr ystod y mae’r sefydliad yn ei ofyn mewn gwirionedd.

Profwch hyn gyda’r cyfnewidiad a fethodd

Byrhewch amser ail-allweddu’r plentyn mewn ffenestr gynnal a chadw fel bod y digwyddiad yn dod mewn munudau yn hytrach nag oriau, neu sbardunwch ail-allweddiad plentyn â llaw. Yna gwyliwch am adnewyddiad llwyddiannus a chadarnhewch fod traffig yn dal i lifo drwyddo, oherwydd mae ymgydiol newydd sy’n gosod cymdeithas blentyn ond yn gollwng llif y cymhwysiad yn ddiffyg gwahanol.

Adferwch yr oes arferol wedyn a chadwch y ddau gofnod digwyddiad, yr un sy’n methu a’r un sy’n llwyddo. Y prawf yr ydych ei eisiau yw bod y cysylltiad yn goroesi ei gylch bywyd ei hun, nid ei fod wedi goroesi ping.