IKE-SA הוקם, CHILD-SA חסר: איפה הנתונים נעצרים

הלקוח אומר שהאימות עבר, מצב IKE נראה תקין, ומוני החבילות נשארים באפס. השילוב הזה אינו סתירה: IKEv2 מחזיק בנפרד את יחסי הבקרה ואת יחסי הנתונים, והראשונים יכולים להצליח בעוד השניים אינם קמים לעולם. שכבת האב מנהלת את המשא ומתן, שכבת הבן נושאת את התעבורה. קראו את שתי השכבות בנפרד לפני שאתם מכריזים שהמנהרה למטה.

מה שתי ה-SA עושות

ה-IKE-SA הוא יחסי הבקרה: הוא מאמת את העמיתים ונושא את החליפין שמנהלים משא ומתן, מחליפים ומסירים הגנה. הוא אינו נושא לעולם את חבילות היישומים שלכם. לכן אב תקין מוכיח רק ששני הקצוות יכולים להסכים על מדיניות אבטחה, ולא יותר.

CHILD-SA הוא יחסי הנתונים, שנוצרים תחת האב, עם בוררי תעבורה וחומר מפתחות לקבוצה מוגנת אחת. הוא כיווני, ולכן פלט המצב מפרט שיוך נכנס ושיוך יוצא עם מזהים נפרדים, ובדרך כלל מונים נפרדים לכל כיוון. בדיוק ההתאמה הזו מסבירה מדוע כיוון אחד יכול לעבוד בעוד השני נופל, ומדוע המשפט המנהרה למעלה אינו אומר דבר על תעבורה. אב אחד יכול להחזיק גם כמה בנים, וכך תווית חיבור אחת מסתירה את זה שאתם צריכים.

קראו את רשומות הבן, לא את תווית החיבור

פתחו יחד את מצב האב ואת רשימת הבנים, ומצאו את הבן שהבוררים שלו תואמים לזרימה שאתם בודקים. רשמו את בוררי התעבורה שלו, את האלגוריתמים שנקבעו, את תוחלת החיים שלו ואת המונים בשני הכיוונים. אם יש כמה בנים, התאימו לפי בוררים ולא לפי מיקום, כי המיקום משתנה לאחר חידוש מפתחות. כתבו את המזהים לפני שתשנו משהו.

אם האב מפרט קבוצת תעבורה אחרת מזו שאתם בודקים, אתם קוראים את הבן הלא נכון. זו בעיית בוררים, לא מנהרה שבורה.

רשמו גם חותמות זמן. חידוש מפתחות יכול להחליף שכבה אחת בעוד האחרת נשארת מוקמת, ובן שנראה חדש יכול להיות התחליף לזה שעקבו אחריו. השוו מזהים לפני שאתם מסיקים שבן נעלם.

כשאין בן כלל

האימות יכול להצליח בעוד הצעת הנתונים או הבוררים נכשלים, והאב נשאר בלי שום בן. הסיבה הרגילה היא אי-התאמה באלגוריתם או בבוררי תעבורה, ושני העמיתים רושמים את ההצעה שנדחתה. קראו את שני הקצוות, כי הצד שאליו אתם מגיעים עשוי להציג רק את הדחייה. תקנו את אי-ההתאמה במקום לאתחל את האב, כי זה חוזר על אותו משא ומתן כושל ומוסיף השבתה לראיות.

אב שמקים את עצמו מחדש שוב ושוב הוא כשל אחר מאב שנשאר למעלה בלי בן. במקרה השני היומנים נוקבים בהצעה שנדחתה, ולכן אספו את ההצעה הזו משני הקצוות לפני שתערכו מדיניות.

כשהבן קיים אבל המונים נשארים באפס

שלחו בקשה חדשה שתואמת לבוררים של הבן. בקשה ליעד מחוץ למדיניות הזו לא תזיז את המונים שלו, ככל שתיראה מוצלחת.

בדקו את המסלול שאמור לדחוף את הזרימה למנהרה, כי בן בלי תעבורה הוא לעתים קרובות בן שדבר אינו מנותב אליו. מונים שזזים בכיוון אחד בלבד מצביעים על אי-התאמה בבוררים או במדיניות בנתיב החזרה. הסתכלו בבוררי החזרה של העמית המרוחק לפני שתגעו בצד המקומי. בקשה חדשה נותנת לכם גם חותמת זמן להצלבה עם פלט המצב של שני הקצוות.

תנו שם לשכבה בדוח

דווחו על התקלה כשלושה שדות ולא כפסק דין: השכבה שנכשלה, החליפין או הבן שבדקתם, והראיות שיש לכם. השכבה היא אחת משלוש: האב מעולם לא הוקם, משא ומתן הבן נדחה, או שיש בן והתעבורה אינה מגיעה אליו. הראיה היא המזהה של הבן עם הבוררים והמונים שלו, או ההצעה שנדחתה כפי שהובאה משני היומנים. כל מי שקורא את זה יכול לגשת ישר לחליפין שחשוב, במקום לשאול לאיזה VPN אתם מתכוונים.

התיעוד של strongSwan על IKEv2 מראה איך השכבות האלה נראות בפלט המצב. צרפו את פלט הבן שבדקתם, לא רק את סיכום האב.