Hvers vegna IPsec-göngin þín virka þar til fyrsta CHILD SA-lyklauppfærslan kemur

Göngin komust upp, pingið svaraði og allir undirrituðu. Fjórum klukkustundum síðar fellur lotan, jafningjarnir skrá villu í tillögu eða lyklaskiptum, og fyrsta tilgátan er að eitthvað hafi breyst í netinu. Ekkert breyttist. Göng sem flytja umferð hafa sannað að jafningjarnir tveir eru sammála um hvernig á að sannvotta og hvernig á að vernda fyrstu undirtengingu, og þau hafa ekkert sannað um lyklaskiptin sem þau munu krefjast við endurnýjun. Ósamræmið liggur í bilinu milli þessara tveggja atburða.

Tengt þýðir ekki að PFS-stillingarnar stemmi

Með IKEv2 verður fyrsta undirtengingin til í sannvottunarskiptunum, og lyklar hennar eru leiddir af efni sem IKE-tengingin hefur þegar framleitt. Engin sérstök Diffie-Hellman skipti eiga sér stað fyrir þá undirtengingu, svo stefna sem krefst slíkra við endurnýjun er ekki prófuð við uppsetningu.

Endurnýjun er önnur skipti. Þegar lykill undirtengingar er endurnýjaður geta jafningjarnir gert ný lyklaskipti við hópinn sem nefndur er í tillögum þeirra, og það er fyrsta augnablikið sem stillingar hópsins eru bornar saman. Þannig geta tveir jafningjar sem eru ósammála sannvottað, sett upp undirtengingu og flutt umferð, og svo mistekist við endurnýjunina.

Hvar ósamræmið leynist í tillögustrengnum

Í strongSwan er hópnum bætt við undirtillöguna, þess vegna lítur strengur eins og aes256gcm16-prfsha256-ecp256 út eins og dulritunarval en ber einnig kröfu um lyklaskipti. Jafningi sem býður aðeins aes256gcm16-prfsha256 hefur ekki slíka kröfu, og listarnir tveir skerast í dulritun en greinir á um skiptin.

Lestu undirtillöguna og IKE-tillöguna sem aðskilda lista. Hópur sem birtist í IKE-listanum segir ekkert um undirlistann, og að breyta öðrum á meðan lesið er hinn er venjulega leiðin sem þetta fer fram hjá.

Lestu bilunina, ekki skrána sem þú breyttir

Finndu notify-ið sem endaði skiptin. Undirlyklaendurnýjun sem skilar „engin ásættanleg tillaga“ bendir á tillögulistana; endurnýjun beiðni sem fær aldrei svar bendir á slóðina eða jafningja sem hætti að hlusta. Þessar tvær þurfa mismunandi lagfæringar, og orðalag loglínunnar aðgreinir þær.

Staðfestu keyrandi stillingarnar frekar en þær sem eru á diski. Skrá sem er vistuð en ekki hlaðin, eða tenging sem var lesin aftur úr annarri include, mun framleiða ósamræmi sem engar breytingar á sýnilegu skránni geta lagfært.

Þrír atburðir sem allir kallast lyklaendurnýjun

Lyklaendurnýjun IKE-tengingar, endursannvottun IKE og lyklaendurnýjun undirtengingar eru aðskildar aðgerðir með aðskildum tillögureglum. Bilun sem tilkynnt er við eina þeirra segir ekkert beint um hinar, og log sem blandar þeim er lesið sem ein endurtekin bilun þótt þær séu þrjár.

Taktu eftir hvaða atburð jafninginn nefnir, og athugaðu svo tillögurnar fyrir þann atburð eingöngu. Breyttu einum lista, hlóddu aftur og þvingaðu sama atburð enn og aftur. Ef logið nefnir endursannvottun er IKE-tillagan sú sem lesa á. Ef það nefnir undirlyklaendurnýjun ber undirtillagan hópinn sem skiptir máli.

Að slökkva á endurnýjun er ekki lagfæring

Að setja endurnýjunartímann á núll bælir skiptin sem mistakast, og göngin lifa þá þar til þau eru rifin niður eða jafninginn endurræsist. Það sem þú keyptir er lengri líftími lykils og ósamræmi sem mun mæta þér aftur við flutning, úttekt eða uppfærslu frá söluaðila. Sama gildir um líftíma sem teygðir eru langt fram yfir stefnuna sem hinn aðilinn væntir.

Lagaðu tillögurnar í staðinn. Veldu hóp sem báðir jafningjar útfæra, settu hann í undirtillöguna á báðum endum og haltu endurnýjunarstefnunni innan sviðsins sem stofnunin krefst í raun.

Sannaðu það með skiptunum sem mistókust

Styttu undirlyklaendurnýjunartímann í viðhaldsglugga svo atburðurinn komi á mínútum í stað klukkustunda, eða ræstu handvirka undirlyklaendurnýjun. Fylgstu þá með árangursríkri endurnýjun og staðfestu að umferð haldi áfram í gegnum hana, því að nýtt handaband sem setur upp undirtengingu en sleppir forritstreyminu er önnur bilun.

Endurheimtu síðan venjulega líftíma og geymdu báðar atburðaskráningar, þá sem mistókst og þá sem tókst. Sönnunin sem þú vilt er að tengingin lifi eigin lífsferli, ekki að hún hafi lifað ping.