IKEv2 ei ole üks kätlus: IKE SA, autentimine ja seejärel CHILD SA
Lüüsi vastus tõestab kättesaadavust, mitte identiteeti. Jälgi IKE_SA_INIT-i, IKE_AUTH-i ja esimest CHILD SA-d ning seejärel kontrolli, mis peab olema tõsi enne, kui liiklus liikuma hakkab.
Võid arvata, et IKEv2 ühendus on üks vahetus, mis lõpeb sinu liikluse krüpteerimisega. Neid on vähemalt kaks ja esimene ei autenti kedagi. Osapooled alustavad juhtimissõnumitega, lepivad kokku krüptograafilistes parameetrites, tõestavad identiteeti ja alles seejärel läbiräägivad oleku, mis kannab rakenduse pakette. See järjekord seletab lahknevust, millest inimesed pidevalt räägivad: lüüs vastab, klient näitab ühendatud olekut ja privaatne rakendus jookseb ikkagi taimerisse. Siin on, mida iga etapp tegelikult teeb ja mis peab pärast seda tõsi olema.
Müüt: kui lüüs vastab, oled ühendatud
Vastus esimesele sõnumile tõestab, et lõpp-punkt on kättesaadav ja valmis rääkima. See ei tõesta, et konto võeti vastu, et sertifikaadiahel valideeriti või et mõni andmepoliitika paigaldati.
Need vead juhtuvad hiljem ja tekitavad erinevaid sümptomeid. Sertifikaadi tagasilükkamine või EAP-i viga saabub pärast seda, kui esimene vahetus on juba õnnestunud, mistõttu ping UDP 500 vastu ja roheline kliendiikoon ütlevad nii vähe.
IKE_SA_INIT: lepi parameetrites, mitte identiteedis
Esimene vahetus kannab IKE turbeseose ettepanekuid: krüpteerimis- ja terviklikkusalgoritmid, pseudojuhuslik funktsioon ja Diffie-Hellmani grupp. Osapooled vahetavad ka noncesid ning kumbki pool tuletab IKE SA võtmematerjali jagatud saladusest, mille need väärtused annavad. Miski selles vahetuses ei tee kindlaks, kes on teine osapool. See teeb kindlaks, et mõlemad pooled suudavad arvutada samu võtmeid ja et nad nõustuvad ettepanekuga. Vastaja, kellele ükski ettepanek ei meeldi, lükkab vahetuse siin tagasi, mistõttu versiooni või algoritmi lahknevus näeb välja nagu serveri maasolek.
Siin loodud IKE SA kaitseb kõiki hilisemaid juhtimisvahetusi. See on tema ülesanne ja see on teine ülesanne kui sinu pakettide kaitsmine.
IKE_AUTH: tõesta identiteet ja ehita siis esimene CHILD SA
Teine vahetus kannab identiteeti. Sertifikaatidega allkirjastab kumbki osapool oma privaatvõtmega ja esitab ahela, mida teine peab valideerima; EAP-iga esitab vastaja algatajale väljakutse valitud meetodi kaudu. Siin tulevad lõpuks välja vale serverinimi, aegunud sertifikaat või tagasilükatud parool.
Tavalisel juhul läbiräägib IKE_AUTH ka esimese CHILD SA, nii et andmekaitse lepitakse kokku samas edasi-tagasi reisis. Algataja pakub liiklusvalijad, vastaja kitsendab või lükkab need tagasi, ja andmetee võtmed tuletatakse IKE SA-st. See tähendab, et üks vahetus võib ebaõnnestuda kahes väga erinevas kohas: identiteedis või poliitikas. Loe teavituskoormust või viga, mitte üldist kätluse tõrget, sest ühe jaoks on lahendus sertifikaat ja teise jaoks alavõrgu lahknevus.
Kaks SA-d, kaks ülesannet
| Seos | Kaitseb | Eluea käitumine |
|---|---|---|
| IKE SA | Juhtimisvahetused: võtmete uuendamine, kustutamine, konfiguratsioonikoormad | Uuendatakse oma ajakava järgi; andmetee võib muutuse üle elada |
| CHILD SA | Liiklusvalijatega sobiv rakendusliiklus | Uuendatakse iseseisvalt, sageli sagedamini |
Nende lahus hoidmine seletab kahte käitumist, mis näivad vigadena. Tunnel võib näidata ülesehitatud olekut, samal ajal kui võtmeuuendus taustal ebaõnnestub, ja CHILD SA saab välja vahetada ilma, et klient ühenduse kaotaks.
strongSwanis näitavad IKEv2 konfiguratsiooni viide ja swanctl --list-sas mõlemat tasandit, ning ip xfrm state koos ip xfrm policy näitavad, mida kernel tegelikult paigaldas. Nende kahe vaate võrdlemine on kiireim viis näha, kas läbirääkimine lõppes või ainult näis lõppevat. Kui deemon loetleb CHILD SA-d, mille jaoks kernelil olekut pole, ebaõnnestus paigaldus vaikselt. Kui kernelil on olek, mida deemon ei tea, vaatad varasema katse jääki.
Mis peab pärast tunneli ülesehitamist endiselt tõsi olema
Liiklusvalijad määravad, millised aadressid on kaetud. Kui klient pakub üht alavõrku ja server ootab teist, paigaldub CHILD SA, kuid ei kanna midagi kasulikku, ja viga ilmub marsruutimisprobleemina, mitte läbirääkimisprobleemina. Seejärel peab lokaalne virn kaasa töötama: edastamine lubatud seal, kus host marsruudib, marsruudid tunnelile, tulemüürireeglid, mis lubavad dekapsuleeritud pakette, ja sisemine resolver, kui privaatsed nimed on mängus. Igaüks neist ebaõnnestub eraldi ja ühtki neist ei paranda IKE deemoni taaskäivitamine.
Hoia logi diagnoosimise ajal nähtaval: esmalt algvahetus, siis identiteedi valideerimine, seejärel kasutaja autentimine, kus see kehtib, siis CHILD-i paigaldamine ja lõpuks rakendusliiklus. Etapp, mis peatub, on see, mida parandada, ja hilisem marsruutimistõrge ei ole kunagi põhjus lõdvendada identiteedikontrolle, mis juba läbisid.