IKEv2 ba musanya ɗaya ba ne: IKE SA, tabbaci, sannan CHILD SA

Kana iya tunanin cewa haɗin IKEv2 musanya ɗaya ne da ke ƙarewa da rufaffen zirga-zirgarka. Akwai aƙalla biyu, kuma na farko ba ya tabbatar da kowa. Ƙungiyoyin suna farawa da saƙonnin sarrafawa, sun yarda kan sigogin sirri, sun tabbatar da asali, sannan kawai su tattauna yanayin da ke ɗaukar fakiti na aikace-aikace. Wannan tsari ne ke bayyana rashin daidaituwar da mutane ke ba da rahoto kullum: ƙofar tana amsawa, abokin ciniki ya ce an haɗa, amma aikace-aikacen sirri har yanzu yana ƙarewa. Ga abin da kowane mataki yake yi a zahiri, da abin da dole ya tabbata bayansa.

Tatsuniya: idan ƙofar ta amsa, an haɗa ka

Amsa ga saƙo na farko tana tabbatar da cewa ƙarshen yana isarsu kuma yana shirye ya yi magana. Ba ta tabbatar da an karɓi asusu, an tabbatar da sarkar takardar shaida, ko an sanya wata manufar bayanai.

Waɗannan gazawa suna faruwa daga baya, kuma suna haifar da alamomi daban-daban. Ƙin takardar shaida ko gazawar EAP yana zuwa bayan musanya na farko ya riga ya yi nasara, shi ya sa ping zuwa UDP 500 da alamar kore a abokin ciniki ba su faɗi komai.

IKE_SA_INIT: yarda kan sigogi, ba asali ba

Musanya na farko yana ɗaukar shawarwari don ƙungiyar tsaro ta IKE: algorithms na rufewa da aminci, aikin bazuwar ƙira, da ƙungiyar Diffie-Hellman. Ƙungiyoyin kuma suna musayar nonces, kuma kowane gefe yana fitar da kayan maɓalli na IKE SA daga sirrin da aka raba da waɗannan ƙimomin suka samar. Babu wani abu a cikin wannan musanya da ke tabbatar da wanene ɗaya ɓangaren. Yana tabbatar da cewa ɓangarorin biyu za su iya lissafta maɓalli ɗaya kuma sun yarda kan shawara. Mai amsawa da bai ji daɗin kowace shawara ba yana ƙin musanyar a nan, shi ya sa rashin daidaituwar siga ko algorithm yake kama da uwar garken a kashe.

IKE SA da aka ƙirƙira a nan yana kare duk musanyar gudanarwa daga baya. Wannan aikinsa ne, kuma aiki ne daban da kare fakitinka.

IKE_AUTH: tabbatar da asali, sannan gina CHILD SA na farko

Musanya na biyu yana ɗaukar asali. Da takardun shaida, kowane ɓangare yana sanya hannu da maɓallinsa na sirri kuma yana gabatar da sarkar da ɗayan dole ya tabbatar; da EAP, mai amsawa yana ƙalubalantar mai farawa ta hanyar da aka zaɓa. A nan ne sunan uwar garken da ba daidai ba, takardar shaidar da ta ƙare ko kalmar sirri da aka ƙi suke fitowa.

A al'ada IKE_AUTH kuma yana tattauna CHILD SA na farko, don haka ana yarda da kariyar bayanai a tafiyar da-da-dawowa ɗaya. Mai farawa yana ba da masu zaɓin zirga-zirga, mai amsawa yana taƙaita ko ƙin su, kuma ana fitar da maɓallan hanyar bayanai daga IKE SA. Wannan yana nufin musanya ɗaya na iya gazawa a wurare biyu mabambanta: asali ko manufa. Karanta kayan sanarwa ko kuskure maimakon gazawar musanya ta gaba ɗaya, domin maganin ɗaya takardar shaida ne kuma maganin ɗayan rashin daidaituwar subnet.

SA biyu, ayyuka biyu

Rabu da juna yana bayyana halaye biyu da suke kama da kurakurai. Ramin na iya nuna an kafa shi yayin da sabunta maɓalli ke gazawa a baya, kuma ana iya maye gurbin CHILD SA ba tare da abokin ciniki ya rasa haɗin ba.

A strongSwan, bayanin saitin IKEv2 da swanctl --list-sas suna nuna matakan biyu, kuma ip xfrm state tare da ip xfrm policy suna nuna abin da kernel ya sanya a zahiri. Kwatanta waɗannan ra'ayoyin biyu ita ce hanya mafi sauri don ganin ko tattaunawar ta ƙare ko kawai ta yi kama da ƙarewa. Idan daemon ya lissafa CHILD SA da kernel ba shi da yanayi gare shi, an gaza sanyawa cikin shiru. Idan kernel yana da yanayin da daemon bai sani ba, kana kallon ragowar wani yunƙuri na baya.

Abin da dole ya kasance gaskiya bayan ramin ya tashi

Masu zaɓin zirga-zirga suna bayyana waɗanne adireshi aka rufe. Idan abokin ciniki ya ba da subnet ɗaya kuma uwar garken yana tsammanin wani, CHILD SA yana shiga amma ba ya ɗaukar wani abu mai amfani, kuma kuskuren yana bayyana a matsayin matsalar turawa ba matsalar tattaunawa ba. Sannan tarin gida dole ya haɗa kai: tura gaba a kunne inda mai masaukin yake turawa, hanyoyin da ke nuna ramin, dokokin wutar bango da ke barin fakitin da aka cire kube, da mai warware suna na ciki idan sunaye na sirri sun shiga. Kowanne daga cikinsu yana gazawa dabam kuma babu ɗayansu da ake gyara ta sake kunna daemon na IKE.

Ka riƙe log ɗin a gani yayin da kake bincike: musanya ta farko, sannan tabbatar da asali, sannan tabbacin mai amfani inda ya dace, sannan shigarwa CHILD, sannan zirga-zirgar aikace-aikace. Matakin da ya tsaya shine matakin da za a gyara, kuma gazawar turawa daga baya ba dalili ba ce don sassauta binciken asalin da suka riga suka wuce.