IKE-SA felépült, CHILD-SA hiányzik: hol állnak meg az adatok

Az ügyfél szerint sikerült a hitelesítés, az IKE állapota egészségesnek látszik, a csomagszámlálók pedig nullán maradnak. Ez a kombináció nem ellentmondás: Az IKEv2 külön tartja a vezérlőkapcsolatot és az adatkapcsolatot, és az első sikerülhet, miközben a második soha nem jön létre. A szülő vezeti a tárgyalást, a gyermek viszi a forgalmat. Olvasd el a két réteget külön, mielőtt leálltnak nyilvánítod az alagutat.

Mit tesz a két SA

Az IKE-SA a vezérlőkapcsolat: hitelesíti a feleket, és azokat az üzenetváltásokat viszi, amelyek megtárgyalják, lecserélik és megszüntetik a védelmet. Soha nem viszi az alkalmazásaid csomagjait. Ezért egy egészséges szülő csak azt bizonyítja, hogy a két végpont meg tud egyezni egy biztonsági szabályzatban, és semmi mást.

A CHILD-SA az adatkapcsolat, amely a szülő alatt jön létre, forgalomszelektorokkal és kulcsanyaggal egy védett halmazhoz. Irányított, ezért az állapotkimenet külön azonosítókkal listáz egy bejövő és egy kimenő társítást, és általában külön számlálókat mindkét irányhoz. Ez a párosítás magyarázza, miért működhet az egyik irány, miközben a másik elesik, és miért nem mond semmit a forgalomról az a mondat, hogy az alagút fent van. Egy szülő több gyermeket is tarthat, és így egyetlen kapcsolatcímke elrejti azt, amelyre szükséged van.

A gyermekbejegyzéseket olvasd, ne a kapcsolatcímkét

Nyisd meg együtt a szülő állapotát és a gyermeklistát, és keresd meg azt a gyermeket, amelynek szelektorai illeszkednek a tesztelt folyamathoz. Jegyezd fel a forgalomszelektorait, a megtárgyalt algoritmusokat, az élettartamát és a számlálókat mindkét irányban. Ha több gyermek van, szelektorok alapján egyeztess, ne pozíció alapján, mert a pozíció kulcsfrissítés után megváltozik. Írd fel az azonosítókat, mielőtt bármit módosítasz.

Ha a szülő más forgalmi halmazt listáz, mint amelyet tesztelsz, akkor rossz gyermeket olvasol. Ez szelektorprobléma, nem törött alagút.

Jegyezd fel az időbélyegeket is. A kulcsfrissítés lecserélheti az egyik réteget, miközben a másik felépülve marad, és egy újnak látszó gyermek lehet annak a helyettesítője, amelyet figyeltél. Hasonlítsd össze az azonosítókat, mielőtt arra jutsz, hogy egy gyermek eltűnt.

Amikor nincs gyermek

A hitelesítés sikerülhet, miközben az adatjavaslat vagy a szelektorok meghiúsulnak, és a szülő gyermek nélkül marad. A szokásos ok algoritmus-eltérés vagy forgalomszelektor-eltérés, és mindkét fél naplózza az elutasított javaslatot. Olvasd mindkét végét, mert az az oldal, amelyet elérsz, csak az elutasítást mutathatja. Javítsd az eltérést ahelyett, hogy újraindítod a szülőt, mert az ugyanazt a sikertelen tárgyalást ismétli, és kimaradást tesz a bizonyítékok mellé.

A folyton újra felépülő szülő más hiba, mint a gyermek nélkül álló szülő. A második esetben a naplók megnevezik az elutasított javaslatot, ezért gyűjtsd össze azt a javaslatot mindkét végponttól, mielőtt szabályzatot szerkesztesz.

Amikor a gyermek létezik, de a számlálók nullán maradnak

Küldj friss kérést, amely illeszkedik a gyermek szelektoraihoz. A szabályzaton kívüli célra menő kérés nem mozdítja meg a számlálóit, bármilyen sikeresnek látszik is.

Ellenőrizd az útvonalat, amelynek be kellene tolnia a folyamatot az alagútba, mert a forgalom nélküli gyermek gyakran olyan gyermek, amelyhez semmi nem irányul. Az egyirányban mozduló számlálók szelektor- vagy szabályzateltérésre utalnak a visszaúton. Nézd meg a távoli fél visszaszelektorait, mielőtt a helyi oldalhoz nyúlsz. A friss kérés időbélyeget is ad, amelyet mindkét vég állapotkimenetével összevethet.

Nevezd meg a réteget a jelentésben

Hibaként jelentsd három mezőben, ne ítéletként: a meghibásodott réteget, az általad megvizsgált üzenetváltást vagy gyermeket, és a birtokodban lévő bizonyítékokat. A réteg három közül az egyik: a szülő soha nem épült fel, a gyermek tárgyalása elutasításra került, vagy létezik gyermek, és a forgalom nem ér el hozzá. A bizonyíték a gyermek azonosítója a szelektoraival és számlálóival, vagy az elutasított javaslat a két naplóból idézve. Aki ezt olvassa, egyenesen a fontos üzenetváltáshoz mehet, ahelyett hogy azt kérdezné, melyik VPN-ről van szó.

A strongSwan IKEv2-dokumentációja megmutatja, hogyan jelennek meg ezek a rétegek az állapotkimenetben. Mellékeld a tesztelt gyermek kimenetét, ne csak a szülő összefoglalóját.