IKE-SA starigita, CHILD-SA mankas: kie la datumoj haltas

La kliento diras, ke ĝi aŭtentikiĝis, la IKE-stato aspektas sana, kaj la pakaĵnombriloj restas ĉe nulo. Tiu kombino ne estas kontraŭdiro: IKEv2 tenas la regan rilaton kaj la datuman rilaton aparte, kaj la unua povas sukcesi dum la dua neniam leviĝas. La gepatra tavolo gvidas la intertraktadon, la fila tavolo gvidas la trafikon. Legu ambaŭ tavolojn aparte antaŭ ol nomi la tunelon malsupra.

Kion faras la du SA

La IKE-SA estas la rega rilato: ĝi aŭtentikigas la partnerojn kaj portas la interŝanĝojn, kiuj intertraktas, anstataŭigas kaj forigas protekton. Ĝi neniam portas la pakaĵojn de viaj aplikaĵoj. Sana gepatra tavolo do pruvas nur, ke la du finoj povas interkonsenti pri sekureca politiko, kaj nenion pli.

CHILD-SA estas la datuma rilato, kreita sub la gepatra, kun trafikaj selektiloj kaj ŝlosilmaterialo por unu protektita aro. Ĝi estas direkta, do la stata eligo listigas envenan kaj eliran asociiĝojn kun apartaj identigiloj, kaj kutime apartajn nombrilojn por ĉiu direkto. Ĝuste tiu parigo klarigas, kial unu direkto povas funkcii dum la alia falas, kaj kial la frazo la tunelo estas supren diras nenion pri trafiko. Unu gepatra tavolo povas ankaŭ teni plurajn filojn, kaj tiel unu sola koneksa etikedo kaŝas tiun, kiun vi bezonas.

Legu la filajn enskribojn, ne la koneksan etikedon

Malfermu kune la gepatran staton kaj la filan liston, kaj trovu la filon, kies selektiloj kongruas kun la fluo, kiun vi testas. Notu ĝiajn trafikajn selektilojn, la intertraktitajn algoritmojn, ĝian vivdaŭron, kaj la nombrilojn en ambaŭ direktoj. Se ekzistas pluraj filoj, kongruigu laŭ selektiloj anstataŭ laŭ pozicio, ĉar la pozicio ŝanĝiĝas post ŝlosilrenovigo. Skribu la identigilojn antaŭ ol vi ŝanĝos ion ajn.

Se la gepatra tavolo listigas alian trafikan aron ol tiu, kiun vi testas, vi legas la malĝustan filon. Tio estas selektila problemo, ne rompita tunelo.

Registru ankaŭ tempomarkojn. Ŝlosilrenovigo povas anstataŭigi unu tavolon dum la alia restas starigita, kaj filo, kiu aspektas nova, povas esti la anstataŭaĵo por tiu, kiun vi observis. Komparu la identigilojn antaŭ ol konkludi, ke filo malaperis.

Kiam ne ekzistas filo

Aŭtentikigo povas sukcesi dum la datuma propono aŭ la selektiloj fiaskas, kaj tiam la gepatra tavolo restas tute sen filo. La kutima kaŭzo estas malkongruo de algoritmo aŭ de trafikaj selektiloj, kaj ambaŭ partneroj registras la rifuzitan proponon. Legu ambaŭ finojn, ĉar la flanko, kiun vi atingas, eble montras nur la rifuzon. Riparu la malkongruon anstataŭ restartigi la gepatran tavolon, kiu ripetas la saman fiaskintan intertraktadon kaj aldonas interrompon al la pruvoj.

Gepatra tavolo, kiu senĉese restarigas sin, estas alia fiasko ol gepatra tavolo, kiu staras sen filo. En la dua kazo la protokoloj nomas la rifuzitan proponon, do kolektu tiun proponon de ambaŭ finoj antaŭ ol redakti politikon.

Kiam la filo ekzistas sed la nombriloj restas ĉe nulo

Sendu novan peton, kiu kongruas kun la selektiloj de la filo. Peto al celo ekster tiu politiko ne movos ĝiajn nombrilojn, kiom ajn sukcesa ĝi aspektas.

Kontrolu la itineron, kiu devas puŝi la fluon en la tunelon, ĉar filo sen trafiko ofte estas filo, al kiu nenio estas enkursigita. Nombriloj, kiuj moviĝas nur en unu direkto, indikas malkongruon de selektiloj aŭ politiko sur la revena vojo. Rigardu la revenajn selektilojn de la fora partnero antaŭ ol tuŝi la lokan flankon. Nova peto ankaŭ donas al vi tempomarkon por kompari kun la stata eligo de ambaŭ finoj.

Nomu la tavolon en la raporto

Raportu la fiaskon kiel tri kampojn anstataŭ verdikto: la tavolo, kiu fiaskis, la interŝanĝo aŭ filo, kiun vi ekzamenis, kaj la pruvoj, kiujn vi havas. La tavolo estas unu el tri: la gepatra neniam stariĝis, la fila intertraktado estis rifuzita, aŭ filo ekzistas kaj la trafiko ne atingas ĝin. La pruvo estas la identigilo de la filo kun ĝiaj selektiloj kaj nombriloj, aŭ la rifuzita propono citita el ambaŭ protokoloj. Ĉiu, kiu tion legas, povas iri rekte al la interŝanĝo, kiu gravas, anstataŭ demandi, kiun VPN vi celas.

La dokumentaro de strongSwan pri IKEv2 montras, kiel tiuj tavoloj aperas en la stata eligo. Aldonu la eligon de la filo, kiun vi testis, ne nur la resumon de la gepatra tavolo.