La vostra SA IKEv2 è attiva ma non esiste alcuna SA figlia: leggete lo scambio

IKE dice che il tunnel è attivo, che la SA figlia manca, e entrambe le affermazioni possono essere vere allo stesso tempo. Una relazione di controllo stabilita non è un'associazione di dati, e i due oggetti hanno durate, negoziazioni e modalità di errore separate. Segnalare la prima come connettività è il modo in cui un ticket finisce per affermare che il tunnel è attivo mentre nulla funziona. Leggete l'elenco delle associazioni invece dell'etichetta di riepilogo della connessione, perché quell'elenco è l'unico posto in cui l'oggetto mancante è visibile. Quello che segue è l'ordine in cui l'elenco acquista senso.

Due associazioni, due compiti

Una SA IKE porta il canale di controllo: identità, chiavi e le proposte per lo scambio di controllo stesso. Una SA figlia porta la protezione ESP, con i propri algoritmi e i propri selettori di traffico. Autenticazione e creazione della SA figlia di solito viaggiano insieme, perché la prima SA figlia viene negoziata dentro IKE_AUTH, ed è proprio questo raggruppamento a sorprendere le persone sulla separazione.

Spiega anche le due forme di errore che incontrerete. Una SA figlia rifiutata durante lo scambio iniziale di solito trascina giù con sé la SA IKE, quindi non vedete alcun canale di controllo stabilito. Una SA IKE che resta da sola più spesso significa che la prima SA figlia è riuscita e che un tentativo successivo di creare una SA figlia è fallito, per esempio durante un rinnovo delle chiavi. Le marche temporali separano quei casi più in fretta di qualsiasi revisione della configurazione.

Quale livello ha rifiutato

Quando una SA figlia viene rifiutata, la notifica nomina il livello. Un rifiuto della proposta significa che le parti non sono riuscite a concordare gli algoritmi, spesso perché una richiede un gruppo di segretezza perfetta in avanti diverso o una cifratura che l'altra non accetterà. Un rifiuto del selettore significa che l'insieme di traffico è stato rifiutato di netto, e questo è un argomento di copertura, non crittografico.

A volte l'assenza di SA figlia è il progetto. Una SA IKE senza SA figlia è un'estensione definita usata dove l'associazione di dati deve essere creata su richiesta, quindi l'assenza è corretta e la SA figlia compare quando arriva traffico corrispondente. Le note di strongSwan su IKEv2 coprono sia lo stile su richiesta sia le impostazioni della proposta che decidono il primo caso.

Controllate se esiste una configurazione su richiesta o una trappola prima di diagnosticare un guasto. Se le SA figlie vengono create pigramente, l'assenza di SA figlia a riposo è lo stato atteso e la vera prova è se il traffico ne solleva una. Quella prova separa anche un progetto pigro da un guasto silenzioso, perché una creazione fallita lascia il trigger senza risposta invece che soltanto a riposo.

Poi chiedete del percorso dei dati

Una volta che esiste una SA figlia, i contatori rispondono alla domanda successiva. ip -s xfrm state riporta i conteggi di pacchetti e byte per associazione, e una SA figlia che non trasporta nulla mentre generate traffico indica corrispondenza o instradamento invece che a un'associazione mancante. swanctl --list-sas stampa i selettori della SA figlia accanto a quei contatori, ed è ciò che conferma che il pacchetto si trova dentro l'insieme accettato.

Tenete separati nel rapporto l'autenticazione riuscita e lo scambio fallito della SA figlia. Un rapporto che dice che l'autenticazione è fallita manda il prossimo ingegnere al magazzino dei certificati, e la frase esatta è molto più corta: la SA IKE è salita, e la SA figlia per questo flusso non è mai stata accettata.

Correlate le due estremità

Per un server che gestite voi, prendete i log del client e del gateway per lo stesso scambio invece di confrontare due tentativi di riconnessione a un'ora di distanza. Le notifiche dovrebbero coincidere su entrambi i lati, e dove non coincidono avete trovato il lato mal configurato.

Correggete la negoziazione della SA figlia, poi ritestate con traffico dentro il selettore previsto. È l'unica prova che dimostra che l'oggetto mancante ora è presente, perché un elenco di associazioni aggiornato a riposo può sembrare identico prima e dopo la correzione.