IKE-SA on muodostettu, CHILD-SA puuttuu: mihin tiedot pysähtyvät

Asiakas kertoo tunnistautuneensa, IKE-tila näyttää terveeltä ja pakettilaskurit pysyvät nollassa. Yhdistelmä ei ole ristiriita: IKEv2 pitää ohjaussuhteen ja datasuhdeen erillään, ja ensimmäinen voi onnistua, kun taas toinen ei nouse koskaan. Vanhempi hoitaa neuvottelun, lapsi hoitaa liikenteen. Lue molemmat kerrokset erikseen ennen kuin julistat tunnelin alas.

Mitä kaksi SA:ta tekevät

IKE-SA on ohjaussuhde: se todentaa vastapuolet ja kuljettaa vaihdot, jotka neuvottelevat, korvaavat ja poistavat suojauksen. Se ei koskaan kuljeta sovellustesi paketteja. Terve vanhempi todistaa siis vain, että kaksi päätä voivat sopia tietoturvakäytännöstä, ei muuta.

CHILD-SA on datasuhde, joka luodaan vanhemman alle, ja siinä on liikennevalitsimet ja avainaineisto yhtä suojattua joukkoa varten. Se on suunnallinen, joten tilatuloste luettelee saapuvan ja lähtevän liitoksen erillisillä tunnisteilla ja yleensä erillisillä laskureilla kummallekin suunnalle. Juuri tämä pari selittää, miksi toinen suunta voi toimia toisen pudotessa, ja miksi lause tunneli on ylhäällä ei kerro liikenteestä mitään. Yksi vanhempi voi pitää myös useita lapsia, ja näin yksi yhteysmerkintä kätkee sen, jota tarvitset.

Lue lapsimerkinnät, älä yhteysmerkintää

Avaa vanhemman tila ja lasten luettelo yhdessä ja etsi lapsi, jonka valitsimet vastaavat testattavaa virtaa. Kirjaa sen liikennevalitsimet, neuvotellut algoritmit, elinikä ja laskurit molemmissa suunnissa. Jos lapsia on useita, sovita valitsimien eikä sijainnin perusteella, koska sijainti muuttuu avainten uusimisen jälkeen. Kirjoita tunnisteet muistiin ennen kuin muutat mitään.

Jos vanhempi luettelee eri liikennejoukon kuin testattava, luet väärää lasta. Se on valitsinongelma, ei rikkinäinen tunneli.

Kirjaa myös aikaleimat. Avainten uusiminen voi korvata toisen kerroksen, kun toinen pysyy muodostettuna, ja uudelta näyttävä lapsi voi olla korvaaja sille, jota seurasit. Vertaa tunnisteita ennen kuin päättelet lapsen kadonneen.

Kun lasta ei ole

Todennus voi onnistua, kun dataehdotus tai valitsimet epäonnistuvat, jolloin vanhempi jää kokonaan ilman lasta. Tavallinen syy on algoritmin tai liikennevalitsimien ero, ja molemmat vastapuolet kirjaavat hylätyn ehdotuksen. Lue molemmat päät, sillä se pää, johon pääset, saattaa näyttää vain hylkäyksen. Korjaa ero sen sijaan, että käynnistät vanhemman uudelleen, mikä toistaa saman epäonnistuneen neuvottelun ja lisää katkoksen todisteisiin.

Jatkuvasti uudelleen muodostuva vanhempi on eri vika kuin ilman lasta pysyvä vanhempi. Jälkimmäisessä tapauksessa lokit nimeävät hylätyn ehdotuksen, joten kerää se ehdotus molemmista päistä ennen käytännön muokkaamista.

Kun lapsi on olemassa mutta laskurit pysyvät nollassa

Lähetä uusi pyyntö, joka vastaa lapsen valitsimia. Pyyntö käytännön ulkopuoliseen kohteeseen ei liikuta sen laskureita, niin onnistuneelta kuin se näyttääkin.

Tarkista reitti, jonka pitäisi työntää virta tunneliin, sillä lapsi ilman liikennettä on usein lapsi, jonne mitään ei reititetä. Vain yhteen suuntaan liikkuvat laskurit viittaavat valitsimien tai käytännön eroon paluutiellä. Katso kaukovastapuolen paluuvalitsimia ennen kuin kosket paikalliseen puoleen. Uusi pyyntö antaa myös aikaleiman, jonka voi korreloida molempien päiden tilatulosteen kanssa.

Nimeä kerros raportissa

Raportoi vika kolmena kenttänä eikä tuomiona: kerros, joka petti, vaihto tai lapsi, jonka tarkistit, ja todisteet, jotka sinulla on. Kerros on yksi kolmesta: vanhempaa ei koskaan muodostettu, lapsen neuvottelu hylättiin, tai lapsi on olemassa eikä liikenne saavuta sitä. Todiste on lapsen tunniste valitsimineen ja laskureineen, tai hylätty ehdotus molemmista lokeista lainattuna. Kuka tahansa sen lukee, voi mennä suoraan siihen vaihtoon, jolla on merkitystä, sen sijaan että kysyisi, mitä VPN:ää tarkoitat.

strongSwanin IKEv2-dokumentaatio näyttää, miltä nämä kerrokset näyttävät tilatulosteessa. Liitä testaamasi lapsen tuloste, älä vain vanhemman yhteenvetoa.