Teie IKEv2 SA on üleval, kuid laps-SA puudub: lugege vahetust

IKE ütleb, et tunnel on üleval, laps-SA puudub, ja mõlemad väited võivad olla korraga tõesed. Loodud juhtimissuhe ei ole andmeseos, ja kahel objektil on eraldi eluajad, läbirääkimised ja rikkerežiimid. Esimese teatamine ühenduvusena on viis, kuidas pilet lõpuks väidab, et tunnel on üleval, samal ajal kui miski ei tööta. Lugege seoste loendit, mitte ühenduse koondsiltti, sest see loend on ainus koht, kus puuduv objekt on nähtav. Järgnev on järjekord, milles loend mõtestatud on.

Kaks seost, kaks tööd

IKE SA kannab juhtimiskanalit: identiteete, võtmeid ja pakkumisi juhtimisvahetuse enda jaoks. Laps-SA kannab ESP-kaitset, oma algoritmide ja oma liiklusvalijatega. Autentimine ja laps-SA loomine käivad tavaliselt koos, sest esimene laps-SA lepitakse kokku IKE_AUTH sees, ja just see sidumine üllatab inimesi eraldatuse juures.

See seletab ka kahte rikkeliiki, millega te kokku puutute. Algvahetuse ajal tagasi lükatud laps-SA võtab tavaliselt IKE SA kaasa, nii et te ei näe üldse loodud juhtimiskanalit. Üksi seisab IKE SA tähendab sagedamini, et esimene laps-SA õnnestus ja hilisem katse laps-SA luua ebaõnnestus, näiteks võtmeuuenduse ajal. Ajatemplid eraldavad need juhtumid kiiremini kui mis tahes konfiguratsiooni ülevaatus.

Milline kiht keeldus

Kui laps-SA tagasi lükatakse, nimetab teavitus kihi. Pakkumise tagasilükkamine tähendab, et pooled ei suutnud algoritmides kokku leppida, sageli seetõttu, et üks nõuab teistsugust täiusliku edasisuunalise salastatuse gruppi või šifrit, mida teine ei aktsepteeri. Valija tagasilükkamine tähendab, et liikluskogum lükati otse tagasi, ja see on katvuse argument, mitte krüptograafiline.

Mõnikord on laps-SA puudumine disain. Ilma laps-SA-ta IKE SA on määratletud laiendus, mida kasutatakse seal, kus andmeseos tuleb luua nõudmisel, nii et puudumine on õige ja laps-SA ilmub, kui sobiv liiklus saabub. strongSwan-i IKEv2 märkmed katavad nii nõudmise stiili kui ka pakkumise seaded, mis otsustavad esimese juhtumi.

Enne rikke diagnoosimist kontrollige nõudmisel või lõksu konfiguratsiooni. Kui laps-SA luuakse laisalt, on laps-SA puudumine jõudeolekus oodatud olek, ja tegelik katse on see, kas liiklus toob ühe üles. See katse eristab ka laiska disaini vaiksest rikkest, sest ebaõnnestunud loomine jätab päästiku vastuseta, mitte lihtsalt jõudeolekusse.

Seejärel küsige andmetee kohta

Kui laps-SA on olemas, vastavad loendurid järgmisele küsimusele. ip -s xfrm state teatab seose kohta paketi- ja baidiarvud, ja laps-SA, mis ei kanna midagi, kui te liiklust genereerite, viitab sobitamisele või marsruutimisele mitte puuduvale seosele. swanctl --list-sas trükib laps-SA valijad nende loendurite kõrvale, ja just see kinnitab, et pakett asub aktsepteeritud kogumis.

Hoidke õnnestunud autentimine ja ebaõnnestunud laps-SA vahetus aruandes eraldi. Aruanne, mis ütleb, et autentimine ebaõnnestus, saadab järgmise inseneri sertifikaadihoidlasse, ja täpne lause on palju lühem: IKE SA tuli üles, ja selle voolu laps-SA ei võetud kunagi vastu.

Korreleerige kaks otsa

Serveri puhul, mida ise haldate, hankige sama vahetuse kliendi- ja lüüsilogid, selle asemel et võrrelda kahte taasühenduskatset tunni vahega. Teavitused peaksid mõlemal poolel kokku langema, ja seal, kus need ei lange, olete leidnud vale konfiguratsiooniga poole.

Parandage laps-SA läbirääkimine, seejärel testige uuesti liiklusega kavandatud valija sees. See on ainus katse, mis tõestab, et puuduv objekt on nüüd olemas, sest jõudeolekus värskendatud seoste loend võib enne ja pärast parandust välja näha ühesugune.