Zure IKEv2 SA martxan dago baina ume SArik ez dago: irakurri trukea

IKEk dio tunela martxan dagoela, ume SA falta dela, eta bi baieztapenak aldi berean egiazkoak izan daitezke. Ezarritako kontrol-harremana ez da datuen elkartze bat, eta bi objektuek bizi-iraupen, negoziazio eta hutsegite modu bereiziak dituzte. Lehenengoa konektibitate gisa salatzea da txartel batek tunela martxan dagoela dioen arren ezerk lan egiten ez duenean amaitzen duen bidea. Irakurri elkartze-zerrenda, konexioaren laburpen-etiketaren ordez, zerrenda hori baita falta den objektua ikusgai dagoen leku bakarra. Ondorengoa zerrendak zentzua hartzen duen ordena da.

Bi elkartze, bi lan

IKE SA batek kontrol-kanala darama: identitateak, gakoak eta kontrol-trukearen beraren proposamenak. Ume SA batek ESP babesa darama, bere algoritmoekin eta bere trafiko-hautatzaileekin. Autentifikazioa eta ume SA sortzea elkarrekin joaten dira normalean, lehen ume SA IKE_AUTH barruan negoziatzen baita, eta lotura horrek harritzen ditu pertsonak bereizketarekin.

Aurkituko dituzun bi hutsegite formak ere azaltzen ditu. Hasierako trukean ukatutako ume SA batek IKE SA ere eramaten du normalean, beraz ez duzu inolako kontrol-kanal ezarritik ikusten. Bakarrik dagoen IKE SA batek sarriago esan nahi du lehen ume SA ondo atera zela eta geroago ume SA sortzeko saiakera huts egin zuela, adibidez gakoen berritzean. Denbora-markek kasu horiek konfigurazioaren edozein berrikuspenek baino azkarrago bereizten dituzte.

Zein geruza uko egin zion

Ume SA bat ukatzen denean, jakinarazpenak geruza izendatzen du. Proposamenaren ukoak esan nahi du aldeek ezin izan zutela algoritmoetan ados jarri, sarri batak beste sekretu perfektu aurreranzko talde bat edo besteak onartuko ez duen zifratze bat eskatzen duelako. Hautatzailearen ukoak esan nahi du trafiko multzoa zuzenean ukatu zela, eta hori estaldura-argudioa da, ez kriptografikoa.

Batzuetan ume SA ez egotea da diseinua. Ume SA gabeko IKE SA luzapen definitua da, datuen elkartzea eskaeran sortu behar den lekuetan erabiltzen dena, beraz absentzia zuzena da eta ume SA bat agertzen da trafiko egokia iristean. strongSwanen IKEv2 oharrak bai eskaera-estiloa bai lehen kasua erabakitzen duten proposamen-ezarpenak estaltzen dituzte.

Akats bat diagnostikatu aurretik, egiaztatu eskaera- edo tranpa-konfigurazio bat dagoen. Ume SAak alferrik sortzen badira, ume SA ez egotea atsedenean egoera espero da, eta benetako proba trafikoak bat altxatzen duen ala ez da. Proba horrek diseinu alferra hutsegite isiletik bereizten du, sortze hutsak eragilea erantzunik gabe uzten baitu, soilik atsedenean egon beharrean.

Gero galdetu datu-bideari buruz

Ume SA bat dagoenean, kontagailuek hurrengo galderari erantzuten diote. ip -s xfrm state elkartze bakoitzeko pakete- eta byte-kontuak jakinarazten ditu, eta trafikoa sortzen duzun bitartean ezer eramaten ez duen ume SA batek parekatzea edo bideratzea adierazten du falta den elkartzeari ez. swanctl --list-sas ume SAren hautatzaileak inprimatzen ditu kontagailu horien ondoan, eta horrek baieztatzen du paketea onartutako multzoaren barruan dagoela.

Mantendu autentifikazio arrakastatsua eta huts egindako ume SA trukea bereizita txostenean. Autentifikazioak huts egin duela dioen txosten batek hurrengo ingeniaria ziurtagiri biltegira bidaltzen du, eta esaldi zehatza askoz laburragoa da: IKE SA altxatu zen, eta fluxu honetarako ume SA ez zen inoiz onartu.

Elkarlotu bi muturrak

Zuk zeuk kudeatzen duzun zerbitzari baterako, hartu truke beraren bezero- eta ate-erregistroak, ordubetez bereizitako bi berrikonexio saiakera alderatu ordez. Jakinarazpenek bi aldeetan bat etorri behar dute, eta bat ez datozen lekuan gaizki konfiguratutako aldea aurkitu duzu.

Zuzendu ume SAren negoziazioa, gero berriro probatu asmo den hautatzailearen barruko trafikoarekin. Hori da falta zen objektua orain badagoela frogatzen duen proba bakarra, atsedenean freskatutako elkartze-zerrenda berdin-berdina gerta baitaiteke konponketa aurretik eta ondoren.