Az IKEv2 SA áll, de nincs gyermek SA: olvassa el a cserét

Az IKE szerint az alagút áll, a gyermek SA hiányzik, és mindkét állítás egyszerre igaz lehet. A létrejött vezérlőkapcsolat nem adategyesítés, és a két objektumnak külön élettartama, egyeztetése és hibaállapota van. Az elsőt kapcsolatként jelenteni az az út, amelyen a jegy végül azt állítja, hogy az alagút áll, miközben semmi sem működik. Az egyesítések listáját olvassa, ne a kapcsolat összefoglaló címkéjét, mert ez a lista az egyetlen hely, ahol a hiányzó objektum látható. A következőkben az a sorrend következik, amelyben a lista értelmet nyer.

Két egyesítés, két feladat

Az IKE SA a vezérlőcsatornát hordozza: identitások, kulcsok és a vezérlőcseréhez szóló javaslatok. A gyermek SA az ESP-védelmet hordozza, saját algoritmusokkal és saját forgalomszelektorokkal. A hitelesítés és a gyermek SA létrehozása általában együtt jár, mert az első gyermek SA-t az IKE_AUTH belsejében egyeztetik, és éppen ez a csomagolás lepi meg az embereket a szétválasztás kapcsán.

Ez magyarázza a két hibaformát is, amelyekkel találkozni fog. A kezdeti cserénél elutasított gyermek SA általában magával viszi az IKE SA-t is, így egyáltalán nem lát létrejött vezérlőcsatornát. Az egyedül álló IKE SA gyakrabban azt jelenti, hogy az első gyermek SA sikerült, és egy későbbi gyermek SA létrehozási kísérlet meghiúsult, például kulcsfrissítés során. Az időbélyegek gyorsabban választják szét ezeket az eseteket, mint bármely konfigurációellenőrzés.

Melyik réteg utasította el

Amikor egy gyermek SA-t elutasítanak, az értesítés megnevezi a réteget. A javaslat elutasítása azt jelenti, hogy a felek nem tudtak megegyezni az algoritmusokban, gyakran mert az egyik más tökéletes előremutató titoktartási csoportot vagy olyan titkosítást követel, amelyet a másik nem fogad el. A szelektor elutasítása azt jelenti, hogy a forgalomhalmazt egyenesen elutasították, és ez lefedettségi érv, nem kriptográfiai.

Néha a gyermek SA hiánya maga a terv. A gyermek SA nélküli IKE SA egy meghatározott kiterjesztés, amelyet ott használnak, ahol az adategyesítést igény szerint kell létrehozni, ezért a hiány helyes, és a gyermek SA akkor jelenik meg, amikor megfelelő forgalom érkezik. A strongSwan IKEv2-jegyzetei lefedik mind az igény szerinti stílust, mind a javaslat azon beállításait, amelyek az első esetet eldöntik.

Hibakeresés előtt ellenőrizze, van-e igény szerinti vagy csapdakonfiguráció. Ha a gyermek SA-k lustán jönnek létre, a gyermek SA hiánya nyugalmi állapotban a várt helyzet, és az igazi próba az, hogy a forgalom létrehoz-e egyet. Ez a próba a lusta tervet a csendes hibától is elválasztja, mert a sikertelen létrehozás válasz nélkül hagyja a kiváltót, nem csupán nyugalomban.

Aztán kérdezzen az adatútra

Ha létezik gyermek SA, a számlálók válaszolnak a következő kérdésre. ip -s xfrm state egyesítésenként jelenti a csomag- és bájtszámokat, és a forgalom generálása közben semmit nem hordozó gyermek SA az egyeztetésre vagy az útválasztásra mutat nem egy hiányzó egyesítésre. swanctl --list-sas a gyermek SA szelektorait írja ki e számlálók mellé, és ez erősíti meg, hogy a csomag az elfogadott halmazon belül van.

Tartsa külön a jelentésben a sikeres hitelesítést és a meghiúsult gyermek SA cserét. A hitelesítés meghiúsulásáról szóló jelentés a következő mérnököt a tanúsítványtárhoz küldi, a pontos mondat pedig sokkal rövidebb: az IKE SA felállt, és az ehhez a folyamhoz tartozó gyermek SA soha nem lett elfogadva.

Korrelálja a két végét

Ha saját maga üzemeltet egy kiszolgálót, ugyanahhoz a cseréhez kérje le az ügyfél- és átjárónaplókat, ahelyett hogy két újracsatlakozási kísérletet hasonlítana össze egy óra eltéréssel. Az értesítéseknek mindkét oldalon egyezniük kell, és ahol nem egyeznek, megtalálta a rosszul beállított felet.

Javítsa a gyermek SA egyeztetését, majd tesztelje újra forgalommal a szándékolt szelektoron belül. Ez az egyetlen próba, amely bizonyítja, hogy a hiányzó objektum most jelen van, mert a nyugalomban frissített egyesítéslista a javítás előtt és után azonosnak tűnhet.