Ձեր IKEv2 SA-ն աշխատում է, բայց զավակ SA չկա՝ կարդացեք փոխանակումը

IKE-ն ասում է, որ թունելը աշխատում է, զավակ SA-ն բացակայում է, և երկու պնդումներն էլ կարող են ճիշտ լինել միաժամանակ։ Հաստատված կառավարման հարաբերությունը տվյալների միավորում չէ, և երկու օբյեկտներն ունեն առանձին կյանքի տևողություն, բանակցություններ և ձախողման ռեժիմներ։ Առաջինը որպես կապակցվածություն ներկայացնելը այն ուղին է, որով տոմսը վերջում պնդում է, թե թունելը աշխատում է, մինչ ոչինչ չի աշխատում։ Կարդացեք միավորումների ցանկը, ոչ թե կապի ամփոփ պիտակը, որովհետև այդ ցանկն է միակ տեղը, որտեղ երևում է բացակայող օբյեկտը։ Հետևյալը այն հերթականությունն է, որով ցանկը իմաստ է ստանում։

Երկու միավորում, երկու աշխատանք

IKE SA-ն կրում է կառավարման ալիքը՝ ինքնություններ, բանալիներ և առաջարկներ հենց կառավարման փոխանակման համար։ Զավակ SA-ն կրում է ESP պաշտպանությունը՝ իր ալգորիթմներով և իր երթևեկության ընտրիչներով։ Նույնականացումը և զավակ SA-ի ստեղծումը սովորաբար գնում են միասին, որովհետև առաջին զավակ SA-ն բանակցվում է IKE_AUTH-ի ներսում, և հենց այդ կապակցումն է զարմացնում մարդկանց այս բաժանմամբ։

Սա նաև բացատրում է ձախողման երկու ձևերը, որոնց կհանդիպեք։ Նախնական փոխանակման ընթացքում մերժված զավակ SA-ն սովորաբար իր հետ վերցնում է նաև IKE SA-ն, այնպես որ ընդհանրապես հաստատված կառավարման ալիք չեք տեսնում։ Մենակ կանգնած IKE SA-ն ավելի հաճախ նշանակում է, որ առաջին զավակ SA-ն հաջողվել է, իսկ ավելի ուշ զավակ SA ստեղծելու փորձը ձախողվել է, օրինակ բանալիների նորացման ժամանակ։ Ժամանակի դրոշմները այդ դեպքերն ավելի արագ են բաժանում, քան կարգավորումների ցանկացած վերանայում։

Որ շերտը մերժեց

Երբ զավակ SA-ն մերժվում է, ծանուցումը նշում է շերտը։ Առաջարկի մերժումը նշանակում է, որ կողմերը չեն կարողացել համաձայնության գալ ալգորիթմների շուրջ, հաճախ որովհետև մեկը պահանջում է կատարյալ առաջ ընթացող գաղտնիության այլ խումբ կամ ծածկագիր, որը մյուսը չի ընդունի։ Ընտրիչի մերժումը նշանակում է, որ երթևեկության բազմությունը մերժվել է ուղղակիորեն, և դա ծածկույթի փաստարկ է, ոչ թե գաղտնագրային։

Երբեմն զավակ SA-ի բացակայությունը հենց նախագիծն է։ Առանց զավակ SA-ի IKE SA-ն սահմանված ընդլայնում է, որն օգտագործվում է այնտեղ, որտեղ տվյալների միավորումը պետք է ստեղծվի ըստ պահանջի, ուստի բացակայությունը ճիշտ է, և զավակ SA-ն հայտնվում է, երբ համապատասխան երթևեկություն է ժամանում։ strongSwan-ի IKEv2 նշումները ընդգրկում են և՛ ըստ պահանջի ոճը, և՛ առաջարկի այն կարգավորումները, որոնք որոշում են առաջին դեպքը։

Նախքան անսարքությունը ախտորոշելը ստուգեք ըստ պահանջի կամ թակարդի կարգավորում առկա է արդյոք։ Եթե զավակ SA-ները ստեղծվում են ծույլ, ապա հանգիստ վիճակում զավակ SA-ի բացակայությունը սպասվող վիճակն է, և իրական փորձությունը այն է, թե արդյոք երթևեկությունը մեկին բարձրացնում է։ Այդ փորձությունը նաև տարբերում է ծույլ նախագիծը լուռ ձախողումից, որովհետև ձախողված ստեղծումը գործարկիչին թողնում է առանց պատասխանի, ոչ թե ուղղակի հանգիստ։

Ապա հարցրեք տվյալների ուղու մասին

Երբ զավակ SA գոյություն ունի, հաշվիչները պատասխանում են հաջորդ հարցին։ ip -s xfrm state հաղորդում է փաթեթների և բայթերի հաշվարկը յուրաքանչյուր միավորման համար, և զավակ SA, որը ոչինչ չի կրում, մինչ դուք երթևեկություն եք առաջացնում, մատնանշում է համապատասխանեցմանը կամ երթուղավորմանը ոչ թե բացակայող միավորման։ swanctl --list-sas տպում է զավակ SA-ի ընտրիչները այդ հաշվիչների կողքին, և հենց դա է հաստատում, որ փաթեթը գտնվում է ընդունված բազմության մեջ։

Հաշվետվության մեջ առանձին պահեք հաջող նույնականացումը և ձախողված զավակ SA փոխանակումը։ Հաշվետվությունը, որն ասում է, թե նույնականացումը ձախողվել է, հաջորդ ինժեներին ուղարկում է վկայագրերի պահոց, իսկ ճշգրիտ նախադասությունը շատ ավելի կարճ է՝ IKE SA-ն բարձրացավ, և այս հոսքի համար զավակ SA-ն երբեք չընդունվեց։

Կապակցեք երկու ծայրերը

Ձեր իսկ ղեկավարած սերվերի համար վերցրեք նույն փոխանակման հաճախորդի և դարպասի մատյանները, փոխանակ մեկ ժամ տարբերությամբ երկու վերամիացման փորձեր համեմատեք։ Ծանուցումները պետք է համընկնեն երկու կողմերում, և այնտեղ, որտեղ չեն համընկնում, դուք գտել եք սխալ կարգավորված կողմը։

Ուղղեք զավակ SA-ի բանակցությունը, ապա նորից փորձարկեք նախատեսված ընտրիչի ներսում եղած երթևեկությամբ։ Սա միակ փորձությունն է, որն ապացուցում է, որ բացակայող օբյեկտն այժմ առկա է, որովհետև հանգիստ վիճակում թարմացված միավորումների ցանկը կարող է նույնը թվալ ուղղումից առաջ և հետո։