IKEv2-SA on ylhäällä, mutta lapsi-SA puuttuu: lue vaihto

IKE sanoo, että tunneli on ylhäällä, lapsi-SA puuttuu, ja molemmat väitteet voivat olla yhtä aikaa tosia. Vakiintunut ohjausyhdistys ei ole data-assosiaatio, ja kahdella objektilla on erilliset elinajat, neuvottelut ja vikatilat. Ensimmäisen raportoiminen yhteytenä on se tapa, jolla tiketti lopulta väittää tunnelin olevan ylhäällä, kun mitään ei toimi. Lue assosiaatiolista yhteyden yhteenvetotunnisteen sijaan, koska juuri tuo lista on ainoa paikka, jossa puuttuva objekti on nähtävissä. Seuraavaksi tulee järjestys, jossa lista käy ymmärrettäväksi.

Kaksi assosiaatiota, kaksi työtä

IKE-SA kantaa ohjauskanavaa: identiteetit, avaimet ja ehdotukset itse ohjausvaihdolle. Lapsi-SA kantaa ESP-suojauksen omine algoritmeineen ja omine liikennevalitsimineen. Todennus ja lapsi-SAn luonti kulkevat yleensä yhdessä, koska ensimmäinen lapsi-SA neuvotellaan IKE_AUTHin sisällä, ja juuri tämä niputtaminen yllättää ihmiset erottelussa.

Se selittää myös kaksi vikamuotoa, joihin törmäät. Alkuvaihdossa hylätty lapsi-SA vie yleensä IKE-SAn mukanaan alas, joten et näe lainkaan vakiintunutta ohjauskanavaa. Yksin seisova IKE-SA tarkoittaa useammin sitä, että ensimmäinen lapsi-SA onnistui ja myöhempi yritys luoda lapsi-SA epäonnistui, esimerkiksi avaimen uusinnan aikana. Aikaleimat erottavat nämä tapaukset nopeammin kuin mikään kokoonpanon tarkistus.

Mikä kerros kieltäytyi

Kun lapsi-SA hylätään, ilmoitus nimeää kerroksen. Ehdotuksen hylkäys tarkoittaa, että osapuolet eivät saaneet algoritmeista yksimielisyyttä, usein siksi, että toinen vaatii erilaista täydellisen eteenpäin suuntautuvan salaisuuden ryhmää tai salausta, jota toinen ei hyväksy. Valitsimen hylkäys tarkoittaa, että liikennejoukko hylättiin suoraan, ja se on kattavuusargumentti, ei kryptografinen.

Joskus lapsi-SAn puuttuminen on suunnittelua. IKE-SA ilman lapsi-SA:ta on määritelty laajennus, jota käytetään siellä, missä data-assosiaatio on luotava pyynnöstä, joten puuttuminen on oikein ja lapsi-SA ilmestyy, kun sopivaa liikennettä saapuu. strongSwanin IKEv2-huomautukset kattavat sekä pyyntötavan että ehdotuksen asetukset, jotka ratkaisevat ensimmäisen tapauksen.

Tarkista pyyntö- tai ansakokoonpano ennen vian diagnosointia. Jos lapsi-SAt luodaan laiskasti, lapsi-SAn puuttuminen levossa on odotettu tila, ja todellinen koe on, tuoko liikenne sellaisen ylös. Tämä koe erottaa myös laiskan suunnittelun hiljaisesta vikaantumisesta, koska epäonnistunut luonti jättää liipaisimen vastaamatta sen sijaan, että se olisi vain levossa.

Kysy sitten datapolusta

Kun lapsi-SA on olemassa, laskurit vastaavat seuraavaan kysymykseen. ip -s xfrm state raportoi paketti- ja tavumäärät assosiaatiota kohden, ja lapsi-SA, joka ei kanna mitään liikennettä luodessasi, osoittaa täsmäytykseen tai reititykseen ei puuttuvaan assosiaatioon. swanctl --list-sas tulostaa lapsi-SAn valitsimet näiden laskurien viereen, ja juuri se vahvistaa, että paketti sijaitsee hyväksytyssä joukossa.

Pidä onnistunut todennus ja epäonnistunut lapsi-SAn vaihto erillään raportissa. Raportti, joka sanoo todennuksen epäonnistuneen, lähettää seuraavan insinöörin varmennevarastoon, ja tarkka lause on paljon lyhyempi: IKE-SA nousi, ja tämän vuon lapsi-SA:ta ei koskaan hyväksytty.

Korreloi kaksi päätä

Itsesi ylläpitämälle palvelimelle hae saman vaihdon asiakas- ja yhdyskäytävälokit sen sijaan, että vertaisit kahta uudelleenyhdistämisyritystä tunnin välein. Ilmoitusten pitäisi yhtyä molemmilla puolilla, ja missä ne eivät yhdy, olet löytänyt väärin konfiguroidun puolen.

Korjaa lapsi-SAn neuvottelu ja testaa sitten uudelleen liikenteellä aiotun valitsimen sisällä. Se on ainoa koe, joka todistaa puuttuvan objektin nyt olevan läsnä, koska levossa päivitetty assosiaatiolista voi näyttää samalta ennen korjausta ja sen jälkeen.