SA IKEv2 Anda aktif tetapi tidak ada SA anak: baca pertukarannya

IKE mengatakan terowongan aktif, SA anak hilang, dan kedua pernyataan bisa benar sekaligus. Hubungan kendali yang terbentuk bukan asosiasi data, dan kedua objek memiliki masa hidup, negosiasi, dan mode kegagalan yang terpisah. Melaporkan yang pertama sebagai konektivitas adalah cara sebuah tiket akhirnya mengklaim terowongan aktif padahal tidak ada yang bekerja. Baca daftar asosiasi, bukan label ringkasan koneksi, karena daftar itulah satu-satunya tempat objek yang hilang terlihat. Berikut ini urutan yang membuat daftar itu masuk akal.

Dua asosiasi, dua tugas

SA IKE membawa kanal kendali: identitas, kunci, dan proposal untuk pertukaran kendali itu sendiri. SA anak membawa perlindungan ESP, dengan algoritme sendiri dan pemilih lalu lintas sendiri. Autentikasi dan pembuatan SA anak biasanya berjalan bersama, karena SA anak pertama dinegosiasikan di dalam IKE_AUTH, dan justru penggabungan itulah yang membuat orang terkejut dengan pemisahannya.

Ini juga menjelaskan dua bentuk kegagalan yang akan Anda temui. SA anak yang ditolak selama pertukaran awal biasanya menjatuhkan SA IKE bersamanya, sehingga Anda tidak melihat kanal kendali yang terbentuk sama sekali. SA IKE yang berdiri sendiri lebih sering berarti SA anak pertama berhasil dan upaya berikutnya membuat SA anak gagal, misalnya saat pembaruan kunci. Stempel waktu memisahkan kasus-kasus itu lebih cepat daripada tinjauan konfigurasi apa pun.

Lapisan mana yang menolak

Ketika SA anak ditolak, notifikasi menyebut lapisannya. Penolakan proposal berarti kedua pihak tidak dapat menyepakati algoritme, sering karena satu pihak menuntut grup kerahasiaan maju sempurna yang berbeda atau sandi yang tidak akan diterima pihak lain. Penolakan pemilih berarti himpunan lalu lintas ditolak mentah-mentah, dan itu argumen cakupan, bukan argumen kriptografi.

Kadang tidak adanya SA anak memang rancangannya. SA IKE tanpa SA anak adalah ekstensi terdefinisi yang dipakai ketika asosiasi data harus dibuat sesuai permintaan, jadi ketiadaannya benar dan SA anak muncul saat lalu lintas yang cocok tiba. Catatan strongSwan tentang IKEv2 mencakup gaya sesuai permintaan dan pengaturan proposal yang menentukan kasus pertama.

Periksa konfigurasi sesuai permintaan atau perangkap sebelum mendiagnosis gangguan. Jika SA anak dibuat secara malas, tidak adanya SA anak saat diam adalah keadaan yang diharapkan, dan uji sebenarnya adalah apakah lalu lintas memunculkan satu. Uji itu juga memisahkan rancangan malas dari kegagalan senyap, karena pembuatan yang gagal membiarkan pemicu tanpa jawaban, bukan sekadar diam.

Lalu tanyakan jalur data

Setelah SA anak ada, penghitung menjawab pertanyaan berikutnya. ip -s xfrm state melaporkan jumlah paket dan byte per asosiasi, dan SA anak yang tidak membawa apa pun saat Anda menghasilkan lalu lintas menunjuk ke pencocokan atau perutean bukan ke asosiasi yang hilang. swanctl --list-sas mencetak pemilih SA anak di samping penghitung itu, dan itulah yang memastikan paket berada di dalam himpunan yang diterima.

Pisahkan autentikasi yang berhasil dan pertukaran SA anak yang gagal di dalam laporan. Laporan yang menyatakan autentikasi gagal mengirim insinyur berikutnya ke penyimpanan sertifikat, dan kalimat yang tepat jauh lebih pendek: SA IKE naik, dan SA anak untuk aliran ini tidak pernah diterima.

Korelasikan kedua ujung

Untuk server yang Anda jalankan sendiri, ambil log klien dan gateway untuk pertukaran yang sama daripada membandingkan dua upaya sambung ulang berselang satu jam. Notifikasi harus cocok di kedua sisi, dan di tempat yang tidak cocok, Anda telah menemukan sisi yang salah konfigurasi.

Perbaiki negosiasi SA anak, lalu uji ulang dengan lalu lintas di dalam pemilih yang dimaksud. Itulah satu-satunya uji yang membuktikan objek yang hilang kini ada, karena daftar asosiasi yang disegarkan saat diam bisa terlihat sama sebelum dan sesudah perbaikan.