A súa SA IKEv2 está activa pero non existe SA filla: lea o intercambio

IKE di que o túnel está activo, que falta a SA filla, e ambas as afirmacións poden ser certas á vez. Unha relación de control establecida non é unha asociación de datos, e os dous obxectos teñen vidas, negociacións e modos de fallo separados. Informar o primeiro como conectividade é como un ticket acaba afirmando que o túnel está activo mentres nada funciona. Lea a lista de asociacións en lugar da etiqueta resumo da conexión, porque esa lista é o único lugar onde o obxecto que falta é visible. O que segue é a orde na que a lista ten sentido.

Dúas asociacións, dous traballos

Unha SA IKE leva a canle de control: identidades, chaves e as propostas para o propio intercambio de control. Unha SA filla leva a protección ESP, cos seus propios algoritmos e os seus propios selectores de tráfico. A autenticación e a creación da SA filla adoitan ir xuntas, porque a primeira SA filla negóciase dentro de IKE_AUTH, e xustamente esa agrupación sorprende á xente coa separación.

Tamén explica as dúas formas de fallo coas que se atopará. Unha SA filla rexeitada durante o intercambio inicial normalmente arrastra consigo a SA IKE, así que non ve ningunha canle de control establecida. Unha SA IKE que queda soa adoita significar que a primeira SA filla tivo éxito e que un intento posterior de crear unha SA filla fallou, por exemplo durante unha renovación de chaves. As marcas de tempo separan eses casos máis rápido que calquera revisión da configuración.

Que capa rexeitou

Cando se rexeita unha SA filla, a notificación nomea a capa. Un rexeitamento de proposta significa que as partes non puideron poñerse de acordo sobre algoritmos, a miúdo porque unha esixe un grupo de segredo perfecto cara adiante distinto ou un cifrado que a outra non aceptará. Un rexeitamento de selector significa que o conxunto de tráfico foi rexeitado de plano, e iso é un argumento de cobertura, non criptográfico.

Ás veces a ausencia de SA filla é o deseño. Unha SA IKE sen SA filla é unha extensión definida que se usa onde a asociación de datos debe crearse a demanda, así que a ausencia é correcta e a SA filla aparece cando chega tráfico coincidente. As notas de strongSwan sobre IKEv2 cobren tanto o estilo a demanda como os axustes de proposta que deciden o primeiro caso.

Comprobe se hai unha configuración a demanda ou de trampa antes de diagnosticar unha avaría. Se as SA fillas se crean de forma preguiceira, ningunha SA filla en repouso é o estado esperado e a proba real é se o tráfico levanta unha. Esa proba tamén separa un deseño preguiceiro dun fallo silencioso, porque unha creación fallida deixa o disparador sen resposta en lugar de só en repouso.

Logo pregunte pola ruta de datos

Unha vez que existe unha SA filla, os contadores responden á seguinte pregunta. ip -s xfrm state informa os recuentos de paquetes e bytes por asociación, e unha SA filla que non transporta nada mentres xera tráfico apunta a coincidencia ou encamiñamento en lugar de a unha asociación que falta. swanctl --list-sas imprime os selectores da SA filla xunto a eses contadores, e iso confirma que o paquete está dentro do conxunto aceptado.

Manteña a autenticación exitosa e o intercambio fallido da SA filla separados no informe. Un informe que di que a autenticación fallou envía o seguinte enxeñeiro ao almacén de certificados, e a frase exacta é moito máis curta: a SA IKE subiu, e a SA filla para este fluxo nunca se aceptou.

Correlacione os dous extremos

Para un servidor que vostede executa, tome os rexistros do cliente e da pasarela do mesmo intercambio en lugar de comparar dous intentos de reconexión cunha hora de diferenza. As notificacións deberían coincidir nos dous lados, e onde non coinciden atopou o lado mal configurado.

Corrixa a negociación da SA filla e logo probe de novo con tráfico dentro do selector previsto. Esa é a única proba que demostra que o obxecto que faltaba agora está presente, porque unha lista de asociacións refrescada en repouso pode parecer idéntica antes e despois da corrección.