Το SA IKEv2 σας είναι ενεργό αλλά δεν υπάρχει παιδικό SA: διαβάστε την ανταλλαγή

Το IKE λέει ότι η σήραγγα είναι ενεργή, ότι το παιδικό SA λείπει, και οι δύο δηλώσεις μπορούν να είναι αληθείς ταυτόχρονα. Μια εδραιωμένη σχέση ελέγχου δεν είναι συσχέτιση δεδομένων, και τα δύο αντικείμενα έχουν ξεχωριστούς χρόνους ζωής, διαπραγματεύσεις και τρόπους αποτυχίας. Το να αναφέρεις το πρώτο ως συνδεσιμότητα είναι ο τρόπος με τον οποίο ένα δελτίο καταλήγει να ισχυρίζεται ότι η σήραγγα είναι ενεργή ενώ τίποτα δεν λειτουργεί. Διαβάστε τη λίστα συσχετίσεων αντί για τη συνοπτική ετικέτα της σύνδεσης, γιατί αυτή η λίστα είναι το μόνο σημείο όπου το αντικείμενο που λείπει είναι ορατό. Αυτό που ακολουθεί είναι η σειρά με την οποία η λίστα αποκτά νόημα.

Δύο συσχετίσεις, δύο έργα

Ένα SA IKE μεταφέρει το κανάλι ελέγχου: ταυτότητες, κλειδιά και τις προτάσεις για την ίδια την ανταλλαγή ελέγχου. Ένα παιδικό SA μεταφέρει την προστασία ESP, με τους δικούς του αλγορίθμους και τους δικούς του επιλογείς κίνησης. Ο έλεγχος ταυτότητας και η δημιουργία του παιδικού SA συνήθως πηγαίνουν μαζί, γιατί το πρώτο παιδικό SA διαπραγματεύεται μέσα στο IKE_AUTH, και ακριβώς αυτή η ομαδοποίηση εκπλήσσει τους ανθρώπους με τον διαχωρισμό.

Εξηγεί επίσης τις δύο μορφές αποτυχίας που θα συναντήσετε. Ένα παιδικό SA που απορρίπτεται κατά την αρχική ανταλλαγή συνήθως παίρνει μαζί του και το SA IKE, ώστε να μη βλέπετε καθόλου εδραιωμένο κανάλι ελέγχου. Ένα SA IKE που στέκεται μόνο του σημαίνει συχνότερα ότι το πρώτο παιδικό SA πέτυχε και ότι μια μεταγενέστερη προσπάθεια δημιουργίας παιδικού SA απέτυχε, για παράδειγμα κατά την ανανέωση κλειδιών. Οι χρονικές σφραγίδες χωρίζουν αυτές τις περιπτώσεις γρηγορότερα από οποιαδήποτε επισκόπηση ρυθμίσεων.

Ποιο επίπεδο αρνήθηκε

Όταν ένα παιδικό SA απορρίπτεται, η ειδοποίηση ονομάζει το επίπεδο. Η απόρριψη πρότασης σημαίνει ότι τα μέρη δεν μπόρεσαν να συμφωνήσουν σε αλγορίθμους, συχνά επειδή το ένα απαιτεί διαφορετική ομάδα τέλειας εμπρόσθιας μυστικότητας ή κρυπτογράφηση που το άλλο δεν δέχεται. Η απόρριψη επιλογέα σημαίνει ότι το σύνολο κίνησης απορρίφθηκε ευθέως, και αυτό είναι επιχείρημα κάλυψης, όχι κρυπτογραφικό.

Μερικές φορές η απουσία παιδικού SA είναι ο σχεδιασμός. Ένα SA IKE χωρίς παιδικό SA είναι μια ορισμένη επέκταση που χρησιμοποιείται όπου η συσχέτιση δεδομένων πρέπει να δημιουργείται κατά απαίτηση, άρα η απουσία είναι σωστή και το παιδικό SA εμφανίζεται όταν φτάνει κατάλληλη κίνηση. Οι σημειώσεις του strongSwan για το IKEv2 καλύπτουν και το ύφος κατά απαίτηση και τις ρυθμίσεις πρότασης που καθορίζουν την πρώτη περίπτωση.

Ελέγξτε για ρύθμιση κατά απαίτηση ή παγίδα πριν διαγνώσετε βλάβη. Αν τα παιδικά SA δημιουργούνται νωθρά, η απουσία παιδικού SA σε ηρεμία είναι η αναμενόμενη κατάσταση, και το πραγματικό τεστ είναι αν η κίνηση φέρνει ένα. Αυτό το τεστ χωρίζει επίσης τον νωθρό σχεδιασμό από μια σιωπηλή αποτυχία, γιατί μια αποτυχημένη δημιουργία αφήνει το έναυσμα αναπάντητο και όχι απλώς ήρεμο.

Έπειτα ρωτήστε για τη διαδρομή δεδομένων

Μόλις υπάρξει παιδικό SA, οι μετρητές απαντούν στην επόμενη ερώτηση. ip -s xfrm state αναφέρει πλήθη πακέτων και byte ανά συσχέτιση, και ένα παιδικό SA που δεν μεταφέρει τίποτα ενώ παράγετε κίνηση δείχνει αντιστοίχιση ή δρομολόγηση αντί για συσχέτιση που λείπει. swanctl --list-sas εκτυπώνει τους επιλογείς του παιδικού SA δίπλα σε αυτούς τους μετρητές, και αυτό επιβεβαιώνει ότι το πακέτο βρίσκεται μέσα στο αποδεκτό σύνολο.

Κρατήστε τον επιτυχή έλεγχο ταυτότητας και την αποτυχημένη ανταλλαγή του παιδικού SA χωριστά στην αναφορά. Μια αναφορά που λέει ότι ο έλεγχος ταυτότητας απέτυχε στέλνει τον επόμενο μηχανικό στην αποθήκη πιστοποιητικών, και η ακριβής φράση είναι πολύ συντομότερη: το SA IKE ανέβηκε, και το παιδικό SA για αυτή τη ροή δεν έγινε ποτέ δεκτό.

Συσχετίστε τα δύο άκρα

Για έναν διακομιστή που τρέχετε μόνοι σας, πάρτε τα αρχεία καταγραφής πελάτη και πύλης για την ίδια ανταλλαγή αντί να συγκρίνετε δύο απόπειρες επανασύνδεσης με μια ώρα διαφορά. Οι ειδοποιήσεις θα πρέπει να συμφωνούν και στις δύο πλευρές, και όπου δεν συμφωνούν, βρήκατε την πλευρά που είναι λανθασμένα ρυθμισμένη.

Διορθώστε τη διαπραγμάτευση του παιδικού SA, έπειτα δοκιμάστε ξανά με κίνηση μέσα στον προβλεπόμενο επιλογέα. Αυτό είναι το μόνο τεστ που αποδεικνύει ότι το αντικείμενο που έλειπε είναι πλέον παρόν, γιατί μια λίστα συσχετίσεων που ανανεώνεται σε ηρεμία μπορεί να φαίνεται ίδια πριν και μετά τη διόρθωση.