તમારું IKEv2 SA ચાલુ છે પણ કોઈ ચાઇલ્ડ SA નથી: વિનિમય વાંચો

IKE કહે છે કે ટનલ ચાલુ છે, ચાઇલ્ડ SA ખૂટે છે, અને બંને વિધાનો એકસાથે સાચાં હોઈ શકે છે. સ્થાપિત નિયંત્રણ સંબંધ ડેટા એસોસિએશન નથી, અને બંને ઑબ્જેક્ટનાં આયુષ્ય, વાટાઘાટો અને નિષ્ફળતાની રીતો અલગ છે. પહેલાને કનેક્ટિવિટી તરીકે જાણ કરવી એ એ રીત છે જેમાં ટિકિટ અંતે દાવો કરે છે કે ટનલ ચાલુ છે જ્યારે કંઈ કામ કરતું નથી. કનેક્શનના સારાંશ લેબલને બદલે એસોસિએશન યાદી વાંચો, કારણ કે એ યાદી એ જ એક જગ્યા છે જ્યાં ખૂટતું ઑબ્જેક્ટ દેખાય છે. આગળ જે આવે છે તે એ ક્રમ છે જેમાં યાદી અર્થપૂર્ણ બને છે.

બે એસોસિએશન, બે કામ

IKE SA નિયંત્રણ ચેનલ ધરાવે છે: ઓળખ, કી અને નિયંત્રણ વિનિમય માટેનાં પ્રસ્તાવો. ચાઇલ્ડ SA ESP સુરક્ષા ધરાવે છે, પોતાના અલ્ગોરિધમ અને પોતાના ટ્રાફિક સિલેક્ટર સાથે. ઓથેન્ટિકેશન અને ચાઇલ્ડ SA બનાવવું સામાન્ય રીતે સાથે જાય છે, કારણ કે પહેલું ચાઇલ્ડ SA IKE_AUTH ની અંદર વાટાઘાટ થાય છે, અને એ જ જોડાણ લોકોને આ અલગતાથી આશ્ચર્યમાં મૂકે છે.

તે તમને મળવાની બે નિષ્ફળતાની રીતો પણ સમજાવે છે. શરૂઆતના વિનિમય દરમિયાન નકારાયેલું ચાઇલ્ડ SA સામાન્ય રીતે IKE SA ને પણ નીચે લઈ જાય છે, તેથી તમને કોઈ સ્થાપિત નિયંત્રણ ચેનલ દેખાતી નથી. એકલું ઊભું રહેલું IKE SA ઘણી વાર એ બતાવે છે કે પહેલું ચાઇલ્ડ SA સફળ થયું અને પછીનો ચાઇલ્ડ SA બનાવવાનો પ્રયાસ નિષ્ફળ ગયો, જેમ કે કી રિન્યુઅલ દરમિયાન. સમયછાપ એ કિસ્સાઓને કોઈપણ રૂપરેખા સમીક્ષા કરતાં ઝડપથી અલગ કરે છે.

કયો સ્તર ઇનકાર કર્યો

જ્યારે ચાઇલ્ડ SA નકારાય છે, ત્યારે સૂચના સ્તરનું નામ આપે છે. પ્રસ્તાવનો ઇનકાર એટલે પક્ષો અલ્ગોરિધમ પર સહમત થઈ શક્યા નહીં, ઘણી વાર કારણ કે એક સંપૂર્ણ ફોરવર્ડ સિક્રેસીનો અલગ જૂથ કે બીજો સ્વીકારશે નહીં એવું સાયફર માંગે છે. સિલેક્ટરનો ઇનકાર એટલે ટ્રાફિક સમૂહ સીધો નકારાયો, અને તે કવરેજની દલીલ છે, ક્રિપ્ટોગ્રાફિક દલીલ નથી.

ક્યારેક ચાઇલ્ડ SA ન હોવું એ જ ડિઝાઇન છે. ચાઇલ્ડ વગરનું IKE SA એક વ્યાખ્યાયિત એક્સ્ટેન્શન છે જે ત્યાં વપરાય છે જ્યાં ડેટા એસોસિએશન માંગ પ્રમાણે બનાવવું જોઈએ, તેથી ગેરહાજરી યોગ્ય છે અને મેળ ખાતો ટ્રાફિક આવે ત્યારે ચાઇલ્ડ SA દેખાય છે. IKEv2 પર strongSwan ની નોંધો માંગ-શૈલી અને પહેલા કિસ્સાને નક્કી કરતી પ્રસ્તાવ-સેટિંગ બંને આવરી લે છે.

ખામીનું નિદાન કરતાં પહેલાં માંગ-આધારિત કે ટ્રેપ રૂપરેખા છે કે નહીં તપાસો. જો ચાઇલ્ડ SA આળસુ રીતે બનાવાય છે, તો નિષ્ક્રિય સ્થિતિમાં ચાઇલ્ડ SA ન હોવું એ અપેક્ષિત સ્થિતિ છે, અને સાચી કસોટી એ છે કે ટ્રાફિક એકને ઉપર લાવે છે કે નહીં. એ કસોટી આળસુ ડિઝાઇનને શાંત નિષ્ફળતાથી પણ અલગ કરે છે, કારણ કે નિષ્ફળ સર્જન ટ્રિગરને ફક્ત નિષ્ક્રિય નહીં, જવાબ વગર છોડી દે છે.

પછી ડેટા માર્ગ વિશે પૂછો

ચાઇલ્ડ SA અસ્તિત્વમાં આવે પછી, કાઉન્ટર આગળના પ્રશ્નનો જવાબ આપે છે. ip -s xfrm state દરેક એસોસિએશન માટે પેકેટ અને બાઇટની ગણતરી જણાવે છે, અને જ્યારે તમે ટ્રાફિક પેદા કરો છો ત્યારે કંઈ ન લઈ જતું ચાઇલ્ડ SA મેળ અથવા રૂટિંગ તરફ સંકેત કરે છે ખૂટતા એસોસિએશન તરફ નહીં. swanctl --list-sas એ કાઉન્ટરની બાજુમાં ચાઇલ્ડ SA ના સિલેક્ટર છાપે છે, અને એ જ પુષ્ટિ કરે છે કે પેકેટ સ્વીકૃત સમૂહની અંદર છે.

સફળ ઓથેન્ટિકેશન અને નિષ્ફળ ચાઇલ્ડ SA વિનિમયને અહેવાલમાં અલગ રાખો. ઓથેન્ટિકેશન નિષ્ફળ ગયું કહેતો અહેવાલ આગળના એન્જિનિયરને પ્રમાણપત્ર ભંડારમાં મોકલે છે, અને સચોટ વાક્ય ઘણું ટૂંકું છે: IKE SA ઉપર આવ્યું, અને આ ફ્લો માટે ચાઇલ્ડ SA કદી સ્વીકારાયું નહીં.

બંને છેડા સહસંબંધિત કરો

તમે જાતે ચલાવો છો તેવા સર્વર માટે, એક જ વિનિમયના ક્લાયન્ટ અને ગેટવે લોગ લો, એક કલાકના અંતરે બે પુનઃકનેક્શન પ્રયાસોની સરખામણી કરવાને બદલે. સૂચનાઓ બંને બાજુ મેળ ખાવી જોઈએ, અને જ્યાં મેળ ન ખાય ત્યાં તમે ખોટી રૂપરેખાવાળી બાજુ શોધી કાઢી છે.

ચાઇલ્ડ SA ની વાટાઘાટ સુધારો, પછી ઇચ્છિત સિલેક્ટરની અંદરના ટ્રાફિક સાથે ફરી પરીક્ષણ કરો. ખૂટતું ઑબ્જેક્ટ હવે હાજર છે તે સાબિત કરતી એ જ એકમાત્ર કસોટી છે, કારણ કે નિષ્ક્રિય સ્થિતિમાં તાજી કરેલી એસોસિએશન યાદી સુધારણા પહેલાં અને પછી એકસરખી દેખાઈ શકે છે.