Din IKEv2-SA er oppe, men der findes ingen underordnet SA: læs udvekslingen

IKE siger, at tunnelen er oppe, at det underordnede SA mangler, og begge udsagn kan være sande på samme tid. En etableret kontrolrelation er ikke en datatilknytning, og de to objekter har separate levetider, forhandlinger og fejltilstande. At rapportere det første som forbindelse er måden, hvorpå en sag ender med at hævde, at tunnelen er oppe, mens intet virker. Læs tilknytningslisten i stedet for forbindelsens overskrift, fordi den liste er det eneste sted, hvor det manglende objekt er synligt. Det følgende er den rækkefølge, hvori listen giver mening.

To tilknytninger, to job

En IKE-SA bærer kontrolkanalen: identiteter, nøgler og forslagene til selve kontroludvekslingen. Et underordnet SA bærer ESP-beskyttelsen med sine egne algoritmer og sine egne trafikselektorer. Godkendelse og oprettelse af det underordnede SA følges normalt ad, fordi det første underordnede SA forhandles inde i IKE_AUTH, og netop den samling overrasker folk med adskillelsen.

Det forklarer også de to former for fejl, du vil møde. Et underordnet SA, der afvises under den indledende udveksling, tager normalt IKE-SA med ned, så du ser slet ingen etableret kontrolkanal. En IKE-SA, der står alene, betyder oftere, at det første underordnede SA lykkedes, og at et senere forsøg på at oprette et underordnet SA mislykkedes, for eksempel under en nøgleudskiftning. Tidsstempler skiller de sager hurtigere end nogen gennemgang af konfigurationen.

Hvilket lag afviste

Når et underordnet SA afvises, navngiver meddelelsen laget. En afvisning af forslaget betyder, at parterne ikke kunne blive enige om algoritmer, ofte fordi den ene kræver en anden gruppe til perfekt fremadrettet hemmelighed eller en cipher, den anden ikke vil acceptere. En afvisning af selektoren betyder, at trafiksættet blev afvist direkte, og det er et dækningsargument, ikke et kryptografisk.

Nogle gange er fraværet af et underordnet SA designet. En IKE-SA uden underordnet SA er en defineret udvidelse, der bruges, hvor datatilknytningen skal oprettes på anmodning, så fraværet er korrekt, og det underordnede SA dukker op, når matchende trafik ankommer. strongSwans noter om IKEv2 dækker både stilen på anmodning og de forslagsindstillinger, der afgør det første tilfælde.

Kontrollér for en anmodnings- eller fælde-konfiguration, før du diagnosticerer en fejl. Hvis underordnede SA oprettes dovent, er intet underordnet SA i hvile den forventede tilstand, og den egentlige prøve er, om trafik rejser et. Den prøve skiller også et dovent design fra en tavs fejl, fordi en mislykket oprettelse lader udløseren ubesvaret i stedet for blot i hvile.

Spørg så til datastien

Når først et underordnet SA findes, svarer tællerne på det næste spørgsmål. ip -s xfrm state rapporterer pakke- og byteantal per tilknytning, og et underordnet SA, der ikke bærer noget, mens du genererer trafik, peger på matchning eller routing i stedet for på en manglende tilknytning. swanctl --list-sas udskriver det underordnede SAs selektorer ved siden af de tællere, og det bekræfter, at pakken ligger inde i det accepterede sæt.

Hold den vellykkede godkendelse og den mislykkede udveksling af det underordnede SA adskilt i rapporten. En rapport, der siger, at godkendelsen mislykkedes, sender den næste ingeniør til certifikatlageret, og den præcise sætning er meget kortere: IKE-SA kom op, og det underordnede SA til dette flow blev aldrig accepteret.

Korrelér de to ender

For en server, du selv driver, hent klient- og gateway-loggen for den samme udveksling i stedet for at sammenligne to genopkoblingsforsøg en time fra hinanden. Meddelelserne bør stemme overens på begge sider, og hvor de ikke gør, har du fundet den part, der er fejlkonfigureret.

Ret forhandlingen af det underordnede SA, og prøv derefter igen med trafik inde i den tilsigtede selektor. Det er den eneste prøve, der beviser, at det manglende objekt nu er til stede, fordi en tilknytningsliste, der opdateres i hvile, kan se identisk ud før og efter rettelsen.