IKEv2 er ekki eitt handaband: IKE SA, auðkenning og þá CHILD SA

Þú gætir haldið að IKEv2-tenging sé ein skipting sem endar með dulkóðaðri umferð. Þær eru að minnsta kosti tvær, og sú fyrsta auðkennir engan. Aðilarnir byrja á stjórnskilaboðum, semja um dulmálsfæribreytur, sanna auðkenni og semja aðeins þá um ástandið sem flytur forritapakkana. Þessi röð útskýrir misræmið sem fólk tilkynnir stöðugt: gáttin svarar, biðlarinn segist tengdur og einkforritið rennur samt út á tíma. Hér er það sem hvert þrep gerir í raun og hvað verður að vera satt eftir það.

Goðsögnin: ef gáttin svarar ertu tengdur

Svar við fyrstu skilaboðunum sannar að endapunkturinn sé aðgengilegur og reiðubúinn að tala. Það sannar ekki að reikningur hafi verið samþykktur, að skírteinakeðja hafi verið staðfest eða að nokkur gagnastefna hafi verið sett upp.

Þessar bilanir gerast síðar og gefa mismunandi einkenni. Hafnun skírteinis eða EAP-bilun kemur eftir að fyrsta skiptingin hefur þegar tekist, þess vegna segja ping á UDP 500 og græn táknmynd biðlarans svo lítið.

IKE_SA_INIT: semdu um færibreytur, ekki auðkenni

Fyrsta skiptingin flytur tillögur að IKE-öryggissamtökunum: dulkóðunar- og heilleikaalgrím, gervislembifall og Diffie-Hellman-hóp. Aðilarnir skiptast einnig á nonce-gildum, og hvor hlið leiðir lykilefni fyrir IKE SA úr sameiginlega leyndarmálinu sem þessi gildi mynda. Ekkert í þessari skiptingu staðfestir hver hinn aðilinn er. Hún staðfestir að báðar hliðar geti reiknað sömu lykla og að þær séu sammála um tillögu. Svarandi sem líkar engin tillaga hafnar skiptingunni hér, þess vegna lítur útgáfu- eða algrímisósamræmi út eins og þjónninn sé niðri.

IKE SA sem verður til hér verndar allar síðari stjórnskiptingar. Það er starf þess, og það er annað starf en að vernda pakkana þína.

IKE_AUTH: sannaðu auðkenni og byggðu svo fyrsta CHILD SA

Önnur skiptingin flytur auðkenni. Með skírteinum skrifar hvor aðili undir með einkalykli sínum og leggur fram keðju sem hinn verður að staðfesta; með EAP ögrar svarandinn frumkvæðisaðilanum með valinni aðferð. Hér koma loks fram rangt netþjónsnafn, útrunnið skírteini eða hafnað lykilorð.

Venjulega semur IKE_AUTH einnig um fyrsta CHILD SA, þannig að gagnavernd er samin í sömu ferð. Frumkvæðisaðilinn leggur til umferðarvala, svarandinn þrengir að þeim eða hafnar þeim, og lyklar gagnaleiðarinnar eru leiddir úr IKE SA. Það þýðir að ein skipting getur brugðist á tvo mjög ólíka staði: auðkenni eða stefnu. Lestu tilkynningargagnið eða villuna frekar en hina almennu handabandsbilun, því lækningin fyrir annað er skírteini og fyrir hitt ósamræmi í undirneti.

Tvö SA, tvö störf

Að halda þeim aðskildum útskýrir tvær hegðanir sem líta út eins og villur. Tunnill getur sýnst uppsettur meðan endurnýjun lykla bregst í bakgrunni, og CHILD SA má skipta út án þess að biðlarinn missi tenginguna.

Á strongSwan sýna IKEv2 stillingarviðmiðunin og swanctl --list-sas bæði stigin, og ip xfrm state ásamt ip xfrm policy sýna hvað kjarninn setti í raun upp. Að bera þessi tvö sjónarhorn saman er fljótlegasta leiðin til að sjá hvort samningaviðræðunum lauk eða þær litu bara út fyrir að ljúka. Ef daemoninn listar CHILD SA sem kjarninn hefur ekkert ástand fyrir, mistókst uppsetningin hljóðlega. Ef kjarninn hefur ástand sem daemoninn þekkir ekki ertu að skoða leifar fyrri tilraunar.

Hvað verður enn að vera satt þegar tunnillinn er kominn upp

Umferðarvalarnir skilgreina hvaða vistföng eru þakin. Ef biðlarinn leggur til eitt undirnet og þjónninn á von á öðru, setst CHILD SA upp en flytur ekkert gagnlegt, og villan birtist sem leiðarvalsvandamál en ekki samningavandamál. Síðan verður staðbundni staflinn að vinna með: framsending virk þar sem hýsillinn leiðar, leiðir sem benda á tunnilinn, eldveggjarreglur sem leyfa afkapslaðar pakkana og innri leysir ef einkanöfn koma við sögu. Hvert þeirra bregst sér og ekkert þeirra er lagað með því að endurræsa IKE-daemoninn.

Hafðu annálin sýnileg meðan þú greinir: fyrsta skiptingin, svo staðfesting auðkennis, svo auðkenning notanda þar sem hún á við, svo uppsetning CHILD og loks forritaumferðin. Þrepið sem stöðvast er þrepið sem á að laga, og leiðarvalsbilun síðar er aldrei ástæða til að slaka á auðkennisathugunum sem þegar stóðust.