Vaš IKEv2 SA je podignut, ali nema podređenog SA: pročitajte razmjenu

IKE kaže da je tunel podignut, podređeni SA nedostaje, i obje tvrdnje mogu biti tačne istovremeno. Uspostavljen odnos upravljanja nije asocijacija podataka, i dva objekta imaju odvojene životne vijekove, pregovore i načine otkaza. Prijaviti prvo kao povezanost je način na koji tiket na kraju tvrdi da je tunel podignut dok ništa ne radi. Čitajte listu asocijacija, a ne sažetu oznaku veze, jer je ta lista jedino mjesto gdje je objekt koji nedostaje vidljiv. Slijedi redoslijed u kojem lista dobija smisao.

Dvije asocijacije, dva posla

IKE SA nosi kontrolni kanal: identitete, ključeve i prijedloge za samu kontrolnu razmjenu. Podređeni SA nosi ESP zaštitu, sa svojim algoritmima i svojim selektorima saobraćaja. Autentifikacija i stvaranje podređenog SA obično idu zajedno, jer se prvi podređeni SA pregovara unutar IKE_AUTH, i upravo to spajanje iznenađuje ljude razdvajanjem.

To objašnjava i dva oblika otkaza na koja ćete naići. Podređeni SA odbijen tokom početne razmjene obično padne zajedno sa IKE SA, pa uopće ne vidite uspostavljen kontrolni kanal. IKE SA koji stoji sam češće znači da je prvi podređeni SA uspio, a kasniji pokušaj stvaranja podređenog SA nije, na primjer tokom obnavljanja ključeva. Vremenske oznake razdvajaju te slučajeve brže od bilo kojeg pregleda konfiguracije.

Koji sloj je odbio

Kada se podređeni SA odbije, obavještenje imenuje sloj. Odbijanje prijedloga znači da se strane nisu mogle dogovoriti o algoritmima, najčešće jer jedna zahtijeva drugu grupu savršene forward tajnosti ili šifru koju druga neće prihvatiti. Odbijanje selektora znači da je skup saobraćaja odbijen izravno, a to je argument pokrivenosti, ne kriptografski.

Ponekad je odsustvo podređenog SA dizajn. IKE SA bez podređenog SA je definirano proširenje koje se koristi tamo gdje asocijaciju podataka treba stvarati na zahtjev, pa je odsustvo ispravno i podređeni SA se pojavljuje kada stigne odgovarajući saobraćaj. strongSwanove bilješke o IKEv2 pokrivaju i stil na zahtjev i postavke prijedloga koje odlučuju o prvom slučaju.

Provjerite postoji li konfiguracija na zahtjev ili zamka prije nego dijagnostikujete kvar. Ako se podređeni SA stvaraju lijeno, odsustvo podređenog SA u mirovanju je očekivano stanje, a pravi test je donosi li saobraćaj jedan. Taj test takođe razdvaja lijeni dizajn od tihe greške, jer neuspjelo stvaranje ostavlja okidač bez odgovora, a ne samo u mirovanju.

Zatim pitajte o putu podataka

Kada podređeni SA postoji, brojači odgovaraju na sljedeće pitanje. ip -s xfrm state prikazuje broj paketa i bajtova po asocijaciji, i podređeni SA koji ne nosi ništa dok generišete saobraćaj upućuje na podudaranje ili rutiranje na asocijaciju koja nedostaje. swanctl --list-sas ispisuje selektore podređenog SA pored tih brojača, i to potvrđuje da paket sjedi unutar prihvaćenog skupa.

Držite uspješnu autentifikaciju i neuspjelu razmjenu podređenog SA odvojeno u zapisu. Izvještaj koji kaže da je autentifikacija neuspjela šalje sljedećeg inženjera u skladište certifikata, a tačna rečenica je mnogo kraća: IKE SA se podigao, a podređeni SA za ovaj tok nikada nije prihvaćen.

Povežite dva kraja

Za server koji sami vodite, uzmite zapise klijenta i pristupnika za istu razmjenu, umjesto da poredite dva pokušaja ponovnog povezivanja sa sat vremena razlike. Obavještenja bi trebalo da se poklapaju na obje strane, a gdje se ne poklapaju, našli ste stranu sa pogrešnom konfiguracijom.

Ispravite pregovor podređenog SA, zatim ponovo testirajte saobraćajem unutar željenog selektora. To je jedini test koji dokazuje da je objekt koji je nedostajao sada prisutan, jer lista asocijacija osvježena u mirovanju može izgledati isto prije i poslije popravke.