IKE-SA स्थापित है, CHILD-SA गायब: डेटा कहाँ रुकता है

क्लाइंट कहता है कि प्रमाणीकरण हो गया, IKE स्थिति स्वस्थ दिखती है, और पैकेट काउंटर शून्य पर ही रहते हैं। यह संयोजन विरोधाभास नहीं है: IKEv2 नियंत्रण संबंध और डेटा संबंध को अलग रखता है, और पहला सफल हो सकता है जबकि दूसरा कभी नहीं उठता। मूल परत बातचीत संभालती है, संतान परत ट्रैफ़िक संभालती है। टनल को बंद घोषित करने से पहले दोनों परतें अलग-अलग पढ़ें।

दोनों SA क्या करते हैं

IKE-SA नियंत्रण संबंध है: यह दोनों सिरों का प्रमाणीकरण करता है और वे आदान-प्रदान ले जाता है जो सुरक्षा पर बातचीत करते हैं, उसे बदलते हैं और हटाते हैं। यह कभी आपके एप्लिकेशन के पैकेट नहीं ले जाता। इसलिए स्वस्थ मूल परत केवल यह सिद्ध करती है कि दोनों सिरे सुरक्षा नीति पर सहमत हो सकते हैं, इससे अधिक कुछ नहीं।

CHILD-SA डेटा संबंध है, जो मूल परत के नीचे बनता है, एक सुरक्षित समुच्चय के लिए ट्रैफ़िक सिलेक्टर और कुंजी सामग्री के साथ। यह दिशात्मक है, इसलिए स्थिति आउटपुट अलग पहचानकर्ताओं के साथ आवक और जावक संबद्धता सूचीबद्ध करता है, और सामान्यतः हर दिशा के लिए अलग काउंटर भी। यही जोड़ी समझाती है कि एक दिशा क्यों काम कर सकती है जबकि दूसरी गिर जाती है, और क्यों टनल ऊपर है यह वाक्य ट्रैफ़िक के बारे में कुछ नहीं कहता। एक मूल कई संतानें भी रख सकता है, और इस तरह एक ही कनेक्शन लेबल आपको ज़रूरी वाली छिपा देता है।

कनेक्शन लेबल नहीं, संतान प्रविष्टियाँ पढ़ें

मूल की स्थिति और संतान सूची साथ खोलें, और वह संतान खोजें जिसके सिलेक्टर आपके परीक्षण वाले प्रवाह से मेल खाते हैं। उसके ट्रैफ़िक सिलेक्टर, तय किए गए एल्गोरिदम, उसका जीवनकाल और दोनों दिशाओं के काउंटर लिख लें। यदि कई संतानें हैं तो स्थिति के बजाय सिलेक्टर से मिलान करें, क्योंकि कुंजी नवीनीकरण के बाद स्थिति बदल जाती है। कुछ भी बदलने से पहले पहचानकर्ता लिख लें।

यदि मूल आपके परीक्षण वाले समुच्चय से भिन्न ट्रैफ़िक समुच्चय दिखाता है, तो आप गलत संतान पढ़ रहे हैं। यह सिलेक्टर की समस्या है, टूटी टनल नहीं।

समय-चिह्न भी दर्ज करें। कुंजी नवीनीकरण एक परत बदल सकता है जबकि दूसरी स्थापित रहती है, और नई दिखने वाली संतान उसी की जगह लेने वाली हो सकती है जिसे आप देख रहे थे। संतान के गायब होने का निष्कर्ष निकालने से पहले पहचानकर्ता तुलना करें।

जब कोई संतान न हो

प्रमाणीकरण सफल हो सकता है जबकि डेटा प्रस्ताव या सिलेक्टर विफल हो जाएँ, और मूल बिना किसी संतान के रह जाता है। सामान्य कारण एल्गोरिदम का मेल न होना या ट्रैफ़िक सिलेक्टर का मेल न होना है, और दोनों पक्ष अस्वीकृत प्रस्ताव दर्ज करते हैं। दोनों सिरे पढ़ें, क्योंकि जिस सिरे तक आप पहुँचते हैं वह केवल अस्वीकृति दिखा सकता है। मूल को पुनः चालू करने के बजाय असंगति सुधारें, क्योंकि इससे वही विफल बातचीत दोहराती है और साक्ष्य में एक व्यवधान जुड़ता है।

बार-बार पुनःस्थापित होता मूल, बिना संतान के टिके मूल से भिन्न विफलता है। दूसरे मामले में लॉग अस्वीकृत प्रस्ताव का नाम लेते हैं, इसलिए नीति संपादित करने से पहले वह प्रस्ताव दोनों सिरों से इकट्ठा करें।

जब संतान हो पर काउंटर शून्य पर ही रहें

संतान के सिलेक्टर से मेल खाती नई विनती भेजें। उस नीति से बाहर किसी गंतव्य की विनती उसके काउंटर नहीं हिलाएगी, चाहे वह कितनी ही सफल दिखे।

वह मार्ग जाँचें जिसे प्रवाह को टनल में धकेलना चाहिए, क्योंकि ट्रैफ़िक-रहित संतान अक्सर वह होती है जहाँ कुछ भी रूट नहीं होता। केवल एक दिशा में हिलते काउंटर लौटने के मार्ग पर सिलेक्टर या नीति की असंगति की ओर संकेत करते हैं। स्थानीय पक्ष छूने से पहले दूर के साथी के लौटने वाले सिलेक्टर देखें। नई विनती आपको दोनों सिरों के स्थिति आउटपुट से मिलाने के लिए समय-चिह्न भी देती है।

रिपोर्ट में परत का नाम दें

विफलता को फ़ैसले के बजाय तीन क्षेत्रों के रूप में बताएँ: जो परत विफल हुई, जो आदान-प्रदान या संतान आपने देखी, और जो साक्ष्य आपके पास है। परत तीन में से एक है: मूल कभी स्थापित नहीं हुआ, संतान की बातचीत अस्वीकृत हुई, या संतान है और ट्रैफ़िक उस तक नहीं पहुँचता। साक्ष्य संतान का पहचानकर्ता उसके सिलेक्टर और काउंटर के साथ है, या दोनों लॉग से उद्धृत अस्वीकृत प्रस्ताव। जो इसे पढ़ेगा वह यह पूछने के बजाय कि आपका मतलब कौन-सा VPN है, सीधे उस आदान-प्रदान तक जा सकेगा जो मायने रखता है।

IKEv2 पर strongSwan का दस्तावेज़ दिखाता है कि ये परतें स्थिति आउटपुट में कैसे दिखती हैं। आपने जो संतान जाँची उसका आउटपुट संलग्न करें, केवल मूल का सारांश नहीं।