IKE-SA on loodud, CHILD-SA puudub: kus andmed peatuvad

Klient ütleb, et autentimine õnnestus, IKE olek näib terve ja paketiloendurid püsivad nullis. See kombinatsioon ei ole vastuolu: IKEv2 hoiab juhtimissuhte ja andmesuhte lahus, ja esimene võib õnnestuda, samal ajal kui teine ei tõuse kunagi. Vanemkiht ajab läbirääkimisi, lapskiht kannab liiklust. Lugege mõlemat kihti eraldi, enne kui kuulutate tunneli maas olevaks.

Mida kaks SA-d teevad

IKE-SA on juhtimissuhe: see autendib osapooled ja kannab vahetusi, mis läbiräägivad, asendavad ja eemaldavad kaitse. See ei kanna kunagi teie rakenduste pakette. Terve vanemkiht tõestab seega ainult seda, et kaks otsa suudavad turvapoliitikas kokku leppida, ja mitte midagi enamat.

CHILD-SA on andmesuhe, mis luuakse vanemkihi all, koos liiklusvalijate ja võtmematerjaliga ühe kaitstud komplekti jaoks. See on suunatud, seega olekuväljund loetleb sissetuleva ja väljuva assotsiatsiooni eraldi identifikaatoritega ja tavaliselt eraldi loenduritega kummagi suuna jaoks. Just see paaristamine seletab, miks üks suund võib töötada, kui teine langeb, ja miks lause tunnel on üleval ei ütle liikluse kohta midagi. Üks vanemkiht võib hoida ka mitut last, ja nii varjab üksainus ühenduse silt seda, mida vajate.

Lugege lapskirjeid, mitte ühenduse silti

Avage vanemkihi olek ja laste loend koos ning leidke laps, mille valijad sobivad testitava vooga. Kirjutage üles selle liiklusvalijad, kokku lepitud algoritmid, eluiga ja loendurid mõlemas suunas. Kui lapsi on mitu, sobitage valijate järgi, mitte asukoha järgi, sest asukoht muutub pärast võtmeuuendust. Kirjutage identifikaatorid üles enne, kui midagi muudate.

Kui vanemkiht loetleb teistsugust liikluskomplekti kui testitav, loete vale last. See on valijate probleem, mitte katkine tunnel.

Märkige üles ka ajatemplid. Võtmeuuendus võib asendada ühe kihi, samal ajal kui teine jääb looduks, ja uuena näiv laps võib olla asendus sellele, mida jälgisite. Võrrelge identifikaatoreid, enne kui järeldate, et laps kadus.

Kui ühtki last ei ole

Autentimine võib õnnestuda, samal ajal kui andmeettepanek või valijad ebaõnnestuvad, ja vanemkiht jääb täiesti ilma lapseta. Tavaline põhjus on algoritmi või liiklusvalijate lahknevus, ja mõlemad osapooled logivad tagasilükatud ettepaneku. Lugege mõlemat otsa, sest pool, kuhu jõuate, võib näidata ainult keeldumist. Parandage lahknevus selle asemel, et vanemkiht uuesti käivitada, mis kordab sama ebaõnnestunud läbirääkimist ja lisab tõenditele katkestuse.

Pidevalt uuesti loodav vanemkiht on teistsugune viga kui lapseta püsiv vanemkiht. Teisel juhul nimetavad logid tagasilükatud ettepaneku, seega koguge see ettepanek mõlemast otsast enne poliitika muutmist.

Kui laps on olemas, aga loendurid püsivad nullis

Saatke uus päring, mis vastab lapse valijatele. Päring väljapoole seda poliitikat ei liiguta selle loendureid, kui edukas see ka ei paista.

Kontrollige marsruuti, mis peaks voo tunnelisse suruma, sest liikluseta laps on sageli laps, kuhu midagi ei marsruudita. Ainult ühes suunas liikuvad loendurid viitavad valijate või poliitika lahknevusele tagasiteel. Vaadake kauge osapoole tagasivalijaid enne, kui puudutate kohalikku poolt. Uus päring annab teile ka ajatempli, millega mõlema otsa olekuväljundit korreleerida.

Nimetage kiht aruandes

Teatage rikkest kolme väljana, mitte otsusena: kiht, mis ebaõnnestus, vahetus või laps, mida uurisite, ja tõendid, mis teil on. Kiht on üks kolmest: vanemkiht ei loodud kunagi, lapse läbirääkimine lükati tagasi, või laps on olemas ja liiklus ei jõua selleni. Tõendiks on lapse identifikaator koos valijate ja loenduritega, või tagasilükatud ettepanek mõlemast logist tsiteerituna. Igaüks, kes seda loeb, saab minna otse olulise vahetuse juurde, selle asemel et küsida, millist VPN-i mõtlete.

Ametlik strongSwan IKEv2 dokumentatsioon näitab, kuidas need kihid olekuväljundis paistavad. Lisage testitud lapse väljund, mitte ainult vanemkihi kokkuvõte.