IKE-SA steht, CHILD-SA fehlt: wo die Daten stocken

Der Client meldet, die Authentifizierung sei gelungen, der IKE-Status wirkt gesund, und die Paketzähler bleiben bei null. Diese Kombination ist kein Widerspruch: IKEv2 hält Kontrollbeziehung und Datenbeziehung getrennt, und die erste kann gelingen, während die zweite nie zustande kommt. Die Elternschicht führt die Verhandlung, die Kindschicht trägt den Verkehr. Lies beide Schichten getrennt, bevor du den Tunnel als ausgefallen bezeichnest.

Was die beiden SAs tun

Die IKE-SA ist die Kontrollbeziehung: Sie authentifiziert die Gegenstellen und trägt die Aushandlungen, die Schutz vereinbaren, ersetzen und entfernen. Sie trägt nie deine Anwendungspakete. Eine gesunde Elternschicht belegt daher nur, dass sich beide Enden auf eine Sicherheitsrichtlinie einigen können, und sonst nichts.

Eine CHILD-SA ist die Datenbeziehung, angelegt unter der Elternschicht, mit Verkehrsselektoren und Schlüsselmaterial für eine geschützte Menge. Sie ist gerichtet, deshalb listet die Statusausgabe eine eingehende und eine ausgehende Assoziation mit getrennten Kennungen und meist getrennten Zählern je Richtung. Genau diese Paarung erklärt, warum eine Richtung laufen kann, während die andere ausfällt, und warum der Satz der Tunnel steht nichts über Verkehr aussagt. Eine Elternschicht kann auch mehrere Kinder halten, und so verbirgt ein einziges Verbindungsetikett das, das du brauchst.

Lies die Kindeinträge, nicht das Verbindungsetikett

Öffne den Elternstatus und die Kindliste zusammen und suche das Kind, dessen Selektoren zum getesteten Fluss passen. Notiere seine Verkehrsselektoren, die ausgehandelten Algorithmen, seine Lebensdauer und die Zähler in beiden Richtungen. Gibt es mehrere Kinder, gleiche über Selektoren ab und nicht über die Position, denn die Position ändert sich nach einer Schlüsselerneuerung. Schreib die Kennungen auf, bevor du etwas änderst.

Zeigt die Elternschicht eine andere Verkehrsmenge als die getestete, liest du das falsche Kind. Das ist ein Selektorproblem, kein defekter Tunnel.

Halte auch Zeitstempel fest. Eine Schlüsselerneuerung kann eine Schicht ersetzen, während die andere aufgebaut bleibt, und ein Kind, das neu aussieht, kann der Ersatz für das sein, das du beobachtet hast. Vergleiche die Kennungen, bevor du schließt, dass ein Kind verschwunden ist.

Wenn kein Kind existiert

Die Authentifizierung kann gelingen, während der Datenvorschlag oder die Selektoren scheitern, und dann bleibt eine Elternschicht ganz ohne Kind. Die übliche Ursache ist eine Abweichung beim Algorithmus oder bei den Verkehrsselektoren, und beide Seiten protokollieren den abgelehnten Vorschlag. Lies beide Enden, denn die Seite, die du erreichst, zeigt vielleicht nur die Ablehnung. Behebe die Abweichung, statt die Elternschicht neu zu starten, was dieselbe gescheiterte Aushandlung wiederholt und den Belegen einen Ausfall hinzufügt.

Eine Elternschicht, die sich ständig neu aufbaut, ist ein anderer Fehler als eine Elternschicht, die ohne Kind steht. Im zweiten Fall benennen die Protokolle den abgelehnten Vorschlag, also sammle diesen Vorschlag von beiden Enden, bevor du eine Richtlinie bearbeitest.

Wenn das Kind existiert, die Zähler aber bei null bleiben

Sende eine neue Anfrage, die zu den Selektoren des Kindes passt. Eine Anfrage an ein Ziel außerhalb dieser Richtlinie bewegt seine Zähler nicht, so erfolgreich sie auch aussieht.

Prüfe die Route, die den Fluss in den Tunnel schieben soll, denn ein Kind ohne Verkehr ist oft eines, zu dem nichts geroutet wird. Zähler, die sich nur in eine Richtung bewegen, deuten auf eine Abweichung bei Selektoren oder Richtlinie auf dem Rückweg hin. Sieh dir die Rückselektoren der entfernten Gegenstelle an, bevor du die lokale Seite anfasst. Eine neue Anfrage liefert dir außerdem einen Zeitstempel, den du mit der Statusausgabe beider Enden abgleichen kannst.

Benenne die Schicht im Bericht

Melde den Fehler als drei Felder statt als Urteil: die Schicht, die ausgefallen ist, die Aushandlung oder das Kind, das du geprüft hast, und die Belege, die du hast. Die Schicht ist eine von drei: Die Elternschicht kam nie zustande, die Kindaushandlung wurde abgelehnt, oder es gibt ein Kind und der Verkehr erreicht es nicht. Der Beleg ist die Kennung des Kindes mit seinen Selektoren und Zählern oder der abgelehnte Vorschlag, zitiert aus beiden Protokollen. Wer das liest, kann direkt zu der Aushandlung gehen, auf die es ankommt, statt zu fragen, welches VPN du meinst.

Die strongSwan-Dokumentation zu IKEv2 zeigt, wie diese Schichten in der Statusausgabe erscheinen. Hänge die Ausgabe des getesteten Kindes an, nicht nur die Zusammenfassung der Elternschicht.