IKE-SA terbentuk, CHILD-SA tidak ada: di mana data berhenti

Klien mengatakan autentikasi berhasil, status IKE tampak sehat, dan penghitung paket tetap di nol. Kombinasi itu bukan kontradiksi: IKEv2 memisahkan hubungan kendali dan hubungan data, dan yang pertama bisa berhasil sementara yang kedua tidak pernah naik. Lapisan induk menangani negosiasi, lapisan anak menangani lalu lintas. Baca kedua lapisan secara terpisah sebelum menyatakan terowongan mati.

Apa yang dilakukan kedua SA

IKE-SA adalah hubungan kendali: ia mengautentikasi kedua ujung dan membawa pertukaran yang menegosiasikan, mengganti, dan menghapus perlindungan. Ia tidak pernah membawa paket aplikasi Anda. Jadi induk yang sehat hanya membuktikan bahwa kedua ujung dapat menyepakati kebijakan keamanan, tidak lebih.

CHILD-SA adalah hubungan data, dibuat di bawah induk, dengan selektor lalu lintas dan materi kunci untuk satu himpunan terlindungi. Ia berarah, sehingga keluaran status mendaftar asosiasi masuk dan keluar dengan pengenal terpisah, dan biasanya penghitung terpisah untuk tiap arah. Pemasangan itulah sebabnya satu arah bisa bekerja sementara arah lain jatuh, dan sebabnya kalimat terowongannya naik tidak mengatakan apa pun tentang lalu lintas. Satu induk juga dapat memegang beberapa anak, dan begitulah satu label koneksi menyembunyikan yang Anda butuhkan.

Baca entri anak, bukan label koneksi

Buka status induk dan daftar anak bersama-sama, lalu temukan anak yang selektornya cocok dengan aliran yang Anda uji. Catat selektor lalu lintasnya, algoritme yang dinegosiasikan, masa hidupnya, dan penghitung di kedua arah. Jika ada beberapa anak, cocokkan berdasarkan selektor, bukan posisi, karena posisi berubah setelah pembaruan kunci. Tuliskan pengenalnya sebelum Anda mengubah apa pun.

Jika induk mendaftar himpunan lalu lintas yang berbeda dari yang Anda uji, Anda membaca anak yang salah. Itu masalah selektor, bukan terowongan rusak.

Catat juga stempel waktu. Pembaruan kunci dapat mengganti satu lapisan sementara lapisan lain tetap terbentuk, dan anak yang tampak baru mungkin merupakan pengganti anak yang Anda amati. Bandingkan pengenalnya sebelum menyimpulkan bahwa seorang anak hilang.

Ketika tidak ada anak

Autentikasi bisa berhasil sementara usulan data atau selektornya gagal, dan induk pun tertinggal tanpa anak sama sekali. Penyebab umumnya ketidakcocokan algoritme atau selektor lalu lintas, dan kedua ujung mencatat usulan yang ditolak. Baca kedua ujung, karena sisi yang Anda jangkau mungkin hanya menampilkan penolakan. Perbaiki ketidakcocokan itu daripada memulai ulang induk, yang mengulang negosiasi gagal yang sama dan menambah pemadaman pada bukti.

Induk yang terus terbentuk ulang adalah kegagalan berbeda dari induk yang tetap hidup tanpa anak. Pada kasus kedua log menyebutkan usulan yang ditolak, jadi kumpulkan usulan itu dari kedua ujung sebelum menyunting kebijakan.

Ketika anak ada tetapi penghitung tetap di nol

Kirim permintaan baru yang cocok dengan selektor anak. Permintaan ke tujuan di luar kebijakan itu tidak akan menggerakkan penghitungnya, seberhasil apa pun tampilannya.

Periksa rute yang seharusnya mendorong aliran ke terowongan, karena anak tanpa lalu lintas sering kali anak yang tidak dirutekan apa pun. Penghitung yang hanya bergerak satu arah menunjuk ketidakcocokan selektor atau kebijakan di jalur kembali. Lihat selektor kembali ujung jauh sebelum menyentuh sisi lokal. Permintaan baru juga memberi Anda stempel waktu untuk dikorelasikan dengan keluaran status kedua ujung.

Sebutkan lapisannya dalam laporan

Laporkan kegagalan sebagai tiga bidang, bukan putusan: lapisan yang gagal, pertukaran atau anak yang Anda periksa, dan bukti yang Anda pegang. Lapisannya salah satu dari tiga: induk tidak pernah terbentuk, negosiasi anak ditolak, atau anak ada dan lalu lintas tidak mencapainya. Buktinya adalah pengenal anak beserta selektor dan penghitungnya, atau usulan yang ditolak yang dikutip dari kedua log. Siapa pun yang membacanya dapat langsung menuju pertukaran yang penting daripada bertanya VPN mana yang Anda maksud.

Dokumentasi strongSwan tentang IKEv2 menunjukkan bagaimana lapisan itu muncul dalam keluaran status. Lampirkan keluaran anak yang Anda uji, bukan hanya ringkasan induk.