IKE-SA establecida, CHILD-SA ausente: onde se deteñen os datos

O cliente di que se autenticou, o estado de IKE parece san e os contadores de paquetes seguen a cero. Esa combinación non é unha contradición: IKEv2 mantén separadas a relación de control e a relación de datos, e a primeira pode ter éxito mentres a segunda nunca se levanta. O pai leva a negociación; o fillo leva o tráfico. Le as dúas capas por separado antes de declarar o túnel caído.

Que fan as dúas SA

A IKE-SA é a relación de control: autentica os pares e transporta os intercambios que negocian, substitúen e eliminan a protección. Nunca transporta os paquetes das túas aplicacións. Por iso un pai san só demostra que os dous extremos poden acordar unha política de seguridade, e nada máis.

Unha CHILD-SA é a relación de datos, creada baixo o pai, con selectores de tráfico e material de chaves para un conxunto protexido. É direccional, así que a saída de estado lista unha asociación de entrada e outra de saída con identificadores separados, e normalmente contadores separados para cada dirección. Ese emparellamento explica por que unha dirección pode funcionar mentres a outra cae, e por que a frase o túnel está levantado non di nada sobre o tráfico. Un pai tamén pode ter varios fillos, e así unha soa etiqueta de conexión agocha o que necesitas.

Le as entradas fillas, non a etiqueta de conexión

Abre o estado do pai e a lista de fillos á vez, e atopa o fillo cuxos selectores coinciden co fluxo que probas. Anota os seus selectores de tráfico, os algoritmos negociados, a súa vida útil e os contadores en ambas as dúas direccións. Se hai varios fillos, compara por selectores e non por posición, porque a posición cambia tras unha renovación de chaves. Escribe os identificadores antes de cambiar nada.

Se o pai lista un conxunto de tráfico distinto do que probas, estás lendo o fillo equivocado. Iso é un problema de selectores, non un túnel roto.

Anota tamén as marcas de tempo. A renovación de chaves pode substituír unha capa mentres a outra segue establecida, e un fillo que parece novo pode ser o substituto do que estabas vixiando. Compara os identificadores antes de concluír que un fillo desapareceu.

Cando non existe ningún fillo

A autenticación pode ter éxito mentres a proposta de datos ou os selectores fallan, e o pai queda sen ningún fillo. A causa habitual é unha discrepancia de algoritmo ou de selectores de tráfico, e ambos os pares rexistran a proposta rexeitada. Le os dous extremos, porque o lado ao que chegas pode mostrar só o rexeitamento. Corrixe a discrepancia en vez de reiniciar o pai, que repite a mesma negociación fallida e engade unha interrupción ás probas.

Un pai que se reestablece unha e outra vez é un fallo distinto dun pai que se mantén sen fillo. No segundo caso os rexistros nomean a proposta rexeitada, así que reúne esa proposta dos dous extremos antes de editar unha política.

Cando o fillo existe pero os contadores seguen a cero

Envía unha petición nova que coincida cos selectores do fillo. Unha petición a un destino fóra desa política non moverá os seus contadores, por exitosa que pareza.

Comproba a ruta que debe empurrar o fluxo ao túnel, porque un fillo sen tráfico adoita ser un fillo ao que nada se encamiña. Os contadores que só se moven nunha dirección apuntan a unha discrepancia de selectores ou de política no camiño de volta. Mira os selectores de volta do par remoto antes de tocar o lado local. Unha petición nova tamén che dá unha marca de tempo para correlacionar coa saída de estado dos dous extremos.

Nomea a capa no informe

Informa do fallo como tres campos en lugar dun veredicto: a capa que fallou, o intercambio ou fillo que inspeccionaches, e as probas que tes. A capa é unha de tres: o pai nunca se estableceu, a negociación do fillo foi rexeitada, ou existe un fillo e o tráfico non lle chega. A proba é o identificador do fillo cos seus selectores e contadores, ou a proposta rexeitada citada dos dous rexistros. Quen o lea pode ir directo ao intercambio que importa en vez de preguntar a que VPN te refires.

A documentación de strongSwan sobre IKEv2 mostra como aparecen esas capas na saída de estado. Adxunta a saída do fillo que probaches, non só o resumo do pai.