Jo IKEv2-SA is omheech, mar der is gjin bern-SA: lês de útwikseling

IKE seit dat de tunnel omheech is, dat de bern-SA ûntbrekt, en beide bewearings kinne tagelyk wier wêze. In fêstige kontrôleferhâlding is gjin data-assosjaasje, en de twa objekten hawwe aparte libbensduorren, ûnderhannelingen en mislearringsmodi. It earste as ferbining rapportearje is de manier wêrop in ticket úteinlik beweart dat de tunnel omheech is wylst neat wurket. Lês de assosjaasjelist yn stee fan it gearfettingslabel fan de ferbining, want dy list is it iennichste plak dêr't it ûntbrekkende objekt te sjen is. Wat folget is de folchoarder wêryn't de list sin makket.

Twa assosjaasjes, twa taken

In IKE-SA draacht it kontrôlekanaal: identiteiten, kaaien en de foarstellen foar de kontrôle-útwikseling sels. In bern-SA draacht de ESP-beskerming, mei syn eigen algoritmen en syn eigen ferkiersselektors. Autentikaasje en it meitsjen fan de bern-SA geane meastentiids tegearre, om't de earste bern-SA binnen IKE_AUTH úthannele wurdt, en krekt dy bondeling ferrast minsken oer de skieding.

It ferklearret ek de twa foarmen fan mislearring dy't jo treffe sille. In bern-SA dy't by de earste útwikseling wegere wurdt, nimt meastentiids de IKE-SA mei nei ûnderen, sadat jo hielendal gjin fêstige kontrôlekanaal sjogge. In IKE-SA dy't allinne stiet betsjut faker dat de earste bern-SA slagge is en dat in lettere poging om in bern-SA te meitsjen mislearre, bygelyks by in kaai-ferfanging. Tiidstimpels skiede dy gefallen rapper as hokker konfiguraasje-oersjoch dan ek.

Hokker laach wegere

As in bern-SA wegere wurdt, neamt de notifikaasje de laach. In foarstel-ôfwizing betsjut dat de partijen it net iens wurde koene oer algoritmen, faaks om't de iene in oare groep foar folsleine foarútwurke geheimhâlding easket of in sjifer dy't de oare net akseptearret. In selektor-ôfwizing betsjut dat de ferkiersset likefolle wegere waard, en dat is in argumint foar dekking, net in kryptografysk argumint.

Soms is gjin bern-SA it ûntwerp. In IKE-SA sûnder bern-SA is in definiearre útwreiding dy't brûkt wurdt dêr't de data-assosjaasje op oanfraach makke wurde moat, dus de ôfwêzichheid is korrekt en de bern-SA ferskynt as passend ferkier oankomt. De notysjes fan strongSwan oer IKEv2 behannelje sawol de styl op oanfraach as de foarstel-ynstellingen dy't oer it earste gefal beslisse.

Kontrolearje op in konfiguraasje op oanfraach of in falstrik foardat jo in fout diagnostearje. As bern-SA's lui makke wurde, is gjin bern-SA by rêst de ferwachte tastân, en de echte test is oft ferkier ien omheech bringt. Dy test skiedt ek in lui ûntwerp fan in stil mislearring, om't in mislearre meitsjen de trigger sûnder antwurd lit yn stee fan allinnich by rêst.

Freegje dan nei it datapad

As der ienris in bern-SA is, beantwurdzje de tellers de folgjende fraach. ip -s xfrm state rapportearret pakket- en byte-tellingen per assosjaasje, en in bern-SA dy't neat draacht wylst jo ferkier generearje wiist op oerienkomst of rûtering yn stee fan nei in ûntbrekkende assosjaasje. swanctl --list-sas printsje de selektors fan de bern-SA neist dy tellers, en dat befêstiget dat it pakket binnen de akseptearre set sit.

Hâld de slagge autentikaasje en de mislearre bern-SA-útwikseling apart yn it ferslach. In ferslach dat seit dat autentikaasje mislearre, stjoert de folgjende yngenieur nei it sertifikaatdepot, en de krekte sin is folle koarter: de IKE-SA kaam omheech, en de bern-SA foar dizze stream waard nea akseptearre.

Korrelaasje beide einen

Foar in tsjinner dy't jo sels beheare, helje de kliïnt- en gateway-logs foar deselde útwikseling yn stee fan twa werferbiningpogingen in oere útinoar te fergelykjen. De notifikaasjes hearre oan beide kanten oerien te kommen, en dêr't se dat net dogge, hawwe jo de ferkeard konfigurearre kant fûn.

Korrizjearje de bern-SA-ûnderhanneling en test dan opnij mei ferkier binnen de bedoelde selektor. Dat is de iennichste test dy't bewist dat it ûntbrekkende objekt no oanwêzich is, om't in assosjaasjelist dy't by rêst ferfarske wurdt der foar en nei de korreksje identyk útsjen kin.