IKEv2 ez da truke bakarra: IKE SA, autentifikazioa eta gero CHILD SA
Pasabideak erantzuteak irisgarritasuna frogatzen du, ez identitatea. Jarraitu IKE_SA_INIT, IKE_AUTH eta lehen CHILD SA, eta gero egiaztatu zer bete behar den trafikoa hasi aurretik.
Pentsa dezakezu IKEv2 konexio bat truke bakar bat dela, zure trafikoa zifratuta amaitzen dena. Gutxienez bi dira, eta lehenak ez du inor autentifikatzen. Pareek kontrol-mezuekin hasten dira, parametro kriptografikoetan ados jartzen dira, identitatea frogatzen dute eta, ondoren bakarrik, aplikazio-paketeak eramaten dituen egoera negoziatzen dute. Ordena horrek azaltzen du jendeak etengabe salatzen duen desadostasuna: pasabideak erantzuten du, bezeroak konektatuta dio, eta aplikazio pribatuak denbora-muga gainditzen jarraitzen du. Hona hemen etapa bakoitzak benetan egiten duena eta haren ondoren zer bete behar den.
Mitikoa: pasabideak erantzuten badu, konektatuta zaude
Lehen mezuei emandako erantzunak frogatzen du muturra irisgarria dela eta hitz egiteko prest dagoela. Ez du frogatzen kontu bat onartu den, ziurtagiri-kate bat baliozkotu den edo datu-politikaren bat instalatu den.
Hutsegite horiek geroago gertatzen dira, eta sintoma desberdinak sortzen dituzte. Ziurtagiri baten ukapena edo EAP hutsegitea lehen trukea jada ondo amaitu ondoren iristen da, eta horregatik UDP 500era egindako ping batek eta bezeroaren ikono berdeak hain gutxi esaten dute.
IKE_SA_INIT: parametroak adostu, ez identitatea
Lehen trukeak IKE segurtasun-elkartearen proposamenak daramatza: zifratze- eta osotasun-algoritmoak, funtzio pseudorandom bat eta Diffie-Hellman talde bat. Pareek nonceak ere trukatzen dituzte, eta alde bakoitzak IKE SArako gako-materiala eratortzen du balio horiek sortzen duten sekretu partekatutik. Truke honetan ez dago ezer beste alderdia nor den ezartzen duenik. Honek ezartzen du bi aldeek gako berak kalkula ditzaketela eta proposamen batean bat datozela. Proposamenik gustuko ez duen erantzuleak hemen uzten du trukea, eta horregatik bertsio edo algoritmo desberdintasun bat zerbitzaria erorita dagoela ematen du.
Puntu honetan sortutako IKE SAk geroagoko kudeaketa-truke guztiak babesten ditu. Hori da bere lana, eta zure paketeak babestea beste lan bat da.
IKE_AUTH: frogatu identitatea eta eraiki lehen CHILD SA
Bigarren trukeak identitatea darama. Ziurtagiriekin, pare bakoitzak bere gako pribatuarekin sinatzen du eta besteak baliozkotu behar duen kate bat aurkezten du; EAPrekin, erantzuleak hasieratzaileari erronka egiten dio aukeratutako metodoaren bidez. Hemen agertzen dira azkenean zerbitzari-izen oker bat, iraungitako ziurtagiri bat edo baztertutako pasahitz bat.
Kasu arruntean IKE_AUTHek lehen CHILD SA ere negoziatzen du, beraz datu-babesa joan-etorri berean adosten da. Hasieratzaileak trafiko-hautatzaileak proposatzen ditu, erantzuleak estutu edo baztertu egiten ditu, eta datu-bidearen gakoak IKE SAtik eratortzen dira. Horrek esan nahi du truke bakar bat bi tokitan oso desberdinetan huts egin dezakeela: identitatean edo politikan. Irakurri jakinarazpen-karga edo errorea, eta ez hutsegite orokorra, batentzako konponbidea ziurtagiri bat delako eta bestearentzako azpisare desberdintasun bat.
Bi SA, bi lan
| Elkartea | Babesten du | Bizitzaren portaera |
|---|---|---|
| IKE SA | Kudeaketa-trukeak: gakoen berritzea, ezabaketa, konfigurazio-kargak | Bere egutegiaren arabera berritzen da; datu-bideak aldaketari eutsi diezaioke |
| CHILD SA | Trafiko-hautatzaileekin bat datorren aplikazio-trafikoa | Modu independentean berritzen da, sarritan maizago |
Bereizita edukitzeak akats ematen duten bi portaera azaltzen ditu. Tunel bat ezarrita ager daiteke atzeko planoan gako-berritze bat huts egiten ari den bitartean, eta CHILD SA bat ordezkatu daiteke bezeroak konexioa galdu gabe.
strongSwanen, IKEv2 konfigurazio-erreferentziak eta swanctl --list-sas bi mailak erakusten dituzte, eta ip xfrm state gehi ip xfrm policy erakusten dute kernelak benetan zer instalatu zuen. Bi ikuspegi horiek alderatzea da azkarrena negoziazioa amaitu zen ala amaitu behar zela ikusteko. Demonioak CHILD SA bat zerrendatzen badu kernelak horretarako egoerarik ez duenean, instalazioak isilka huts egin zuen. Kernelak demonioak ezagutzen ez duen egoera badu, aurretiko saiakera baten arrastoa ikusten ari zara.
Tunela altxatuta egon ondoren zer izaten jarraitu behar duen
Trafiko-hautatzaileek definitzen dute zein helbide dauden estalita. Bezeroak azpisare bat proposatzen badu eta zerbitzariak beste bat espero badu, CHILD SA instalatzen da baina ez du ezer erabilgarririk eramaten, eta errorea bideratze-arazo gisa agertzen da, ez negoziazio-arazo gisa. Gero tokiko pilak elkar lan egin behar du: birbidalketa gaituta hostak bideratzen duen tokian, tunelera bideratzen duten ibilbideak, deskapsulatutako paketeak onartzen dituzten suebaki-arauak eta barne-resolbatzaile bat izen pribatuak tartean badaude. Bakoitza bere aldetik huts egiten du eta horietako bat ere ez da konpontzen IKE demonioa berrabiarazita.
Mantendu erregistroa ikusgai diagnostikatzen duzun bitartean: hasierako trukea, gero identitatearen baliozkotzea, gero erabiltzaile-autentifikazioa dagokionean, gero CHILD instalazioa eta azkenik aplikazio-trafikoa. Gelditzen den etapa da konpondu behar dena, eta geroagoko bideratze-hutsegite bat ez da inoiz jada igarotako identitate-kontrolak lasaitzeko arrazoi.