IKE-SA oprjochte, CHILD-SA ûntbrekt: wêr’t de gegevens stopje

De klant seit dat er autentisearre is, de IKE-status liket sûn, en de pakkettellers bliuwe op nul. Dy kombinaasje is gjin tsjinstelling: IKEv2 hâldt in kontrôleferhâlding en in gegevensferhâlding apart, en de earste kin slagje wylst de twadde nea omheech komt. De âlder docht de ûnderhanneling, it bern docht it ferkear. Lês de beide lagen apart foardat jo de tunnel del neame.

Wat de beide SA’s dogge

De IKE-SA is de kontrôleferhâlding: hy autentisearret de pearen en draacht de útwikselings dy’t beskerming ûnderhannelje, ferfange en ferwiderje. Hy draacht nea de pakketten fan jo applikaasjes. In sûne âlder bewiist dus allinnich dat de beide einen it oer in befeiligensbelied iens wurde kinne, en net mear.

In CHILD-SA is de gegevensferhâlding, makke ûnder de âlder, mei ferkearsselektors en kaaimateriaal foar ien beskerme set. Hy is rjochte, dat de statusútfier lisstet in yngeande en in útgeande assosjaasje mei aparte identifikaasjes, en meastentiids aparte tellers foar elke rjochting. Krekt dy pearefoarming ferklearret wêrom’t ien rjochting wurkje kin wylst de oare falt, en wêrom’t de sin de tunnel is omheech neat oer ferkear seit. Ien âlder kin ek ferskate bern hâlde, en sa ferberget ien inkelde ferbiningslabel dy’t jo nedich hawwe.

Lês de bernynskriuwings, net it ferbiningslabel

Iepenje de âlderstatus en de bernlist tegearre, en fyn it bern waans selektors by de stream passe dy’t jo teste. Skriuw syn ferkearsselektors, de ûnderhannele algoritmen, syn libbensdoer en de tellers yn beide rjochtingen op. Binne der ferskate bern, match dan op selektors yn plak fan op posysje, want de posysje feroaret nei in kaaifernijing. Skriuw de identifikaasjes op foardat jo eat feroarje.

As de âlder in oare ferkearsset lisstet as dy’t jo teste, lêze jo it ferkearde bern. Dat is in selektorprobleem, gjin brutsen tunnel.

Skriuw ek tiidstimpels op. Kaaifernijing kin ien laach ferfange wylst de oare oprjochte bliuwt, en in bern dat nij liket, kin de ferfanger wêze foar dy’t jo besochten. Fergelykje de identifikaasjes foardat jo konkludearje dat in bern ferdwûn is.

As der gjin bern is

Autentikaasje kin slagje wylst it gegevensfoarstel of de selektors mislearje, en de âlder bliuwt dan hielendal sûnder bern. De gewoane oarsaak is in algoritme-ôfwiking of in ôfwiking fan ferkearsselektors, en beide pearen logge it wegere foarstel. Lês beide einen, want de kant dy’t jo berikke kin allinnich de wegering sjen litte. Reparearje de ôfwiking yn plak fan de âlder op ’e nij te starten, want dat werhellet deselde mislearre ûnderhanneling en foeget in ûnderbrekking ta oan it bewiis.

In âlder dy’t him hieltyd op ’e nij oprjochtet is in oare flater as in âlder dy’t sûnder bern oerein bliuwt. Yn it twadde gefal neame de logboeken it wegere foarstel, dat sammelje dat foarstel fan beide einen foardat jo in belied bewurkje.

As it bern bestiet mar de tellers bliuwe op nul

Stjoer in nij fersyk dat by de selektors fan it bern past. In fersyk nei in bestimming bûten dat belied sil syn tellers net bewege, hoe suksesfol’t it ek liket.

Kontrolearje de rûte dy’t de stream de tunnel yn triuwe moat, want in bern sûnder ferkear is faak in bern dêr’t neat hinne rûte wurdt. Tellers dy’t allinnich yn ien rjochting bewege, wize op in ôfwiking fan selektors of belied op ’e weromwei. Sjoch nei de weromselektors fan it fiere pear foardat jo de lokale kant oanreitsje. In nij fersyk jout jo ek in tiidstimpel om mei de statusútfier fan beide einen te korrelearjen.

Neam de laach yn it rapport

Rapportearje de flater as trije fjilden yn plak fan in oardiel: de laach dy’t mislearre, de útwikseling of it bern dat jo besjoen hawwe, en it bewiis dat jo hawwe. De laach is ien fan trije: de âlder is nea oprjochte, de bernûnderhanneling is wegere, of der is in bern en it ferkear berikt it net. It bewiis is de identifikaasje fan it bern mei syn selektors en tellers, of it wegere foarstel sitearre út beide logs. Wa’t dat lêst, kin streekrjocht nei de útwikseling gean dy’t ta docht yn plak fan te freegjen hokker VPN jo bedoele.

De strongSwan-dokumintaasje oer IKEv2 lit sjen hoe’t dy lagen yn ’e statusútfier ferskine. Foegje de útfier fan it bern ta dat jo testen, net allinnich de gearfetting fan de âlder.