IKE SA დამყარებულია, CHILD SA აკლია: სად ჩერდება მონაცემები

კლიენტი ამბობს, რომ ავტორიზაცია გაიარა, IKE-ის სტატუსი ჯანმრთელად გამოიყურება, ხოლო პაკეტების მრიცხველები ნულზე რჩება. ეს კომბინაცია წინააღმდეგობა არ არის: IKEv2 საკონტროლო ურთიერთობას და მონაცემთა ურთიერთობას ერთმანეთისგან ჰყოფს, და პირველი შეიძლება წარმატებით დასრულდეს, მაშინ როცა მეორე არასდროს ამოდის. მშობელი აწარმოებს მოლაპარაკებას; შვილი მართავს ტრაფიკს. წაიკითხეთ ორი ფენა ცალ-ცალკე, სანამ ტუნელს გათიშულად უწოდებთ.

რას აკეთებს ორი SA

IKE SA საკონტროლო ურთიერთობაა: ის ავტორიზებს მხარეებს და ატარებს გაცვლებს, რომლებიც აწარმოებენ, ცვლიან და შლიან დაცვას. ის არასდროს ატარებს თქვენი აპლიკაციის პაკეტებს. ჯანმრთელი მშობელი ამიტომ ამტკიცებს, რომ ორი მხარე შეთანხმდება უსაფრთხოების პოლიტიკაზე და მეტს არაფერს.

CHILD SA მონაცემთა ურთიერთობაა, შექმნილი მშობლის ქვეშ, ტრაფიკის სელექტორებითა და გასაღების მასალით ერთი დაცული ნაკრებისთვის. ის მიმართულებიანია, ამიტომ სტატუსის გამონატანი ჩამოთვლის შემომავალ და გამავალ ასოციაციას ცალკე იდენტიფიკატორებით და, როგორც წესი, ცალკე მრიცხველებით თითოეული მიმართულებისთვის. სწორედ ეს წყვილობაა მიზეზი იმისა, რომ ერთი მიმართულება შეიძლება მუშაობდეს, მეორე კი ვარდებოდეს, და იმისა, რომ ფრაზა ტუნელი აწეულია ტრაფიკზე არაფერს ამბობს. ერთ მშობელს შეიძლება რამდენიმე შვილი ჰქონდეს, და სწორედ ასე მალავს ერთი კავშირის ეტიკეტი იმას, რაც გჭირდებათ.

წაიკითხეთ შვილის ჩანაწერები და არა კავშირის ეტიკეტი

გახსენით მშობლის სტატუსი და შვილების სია ერთად და იპოვეთ ის შვილი, რომლის სელექტორები ემთხვევა თქვენ მიერ შემოწმებულ ნაკადს. ჩაიწერეთ მისი ტრაფიკის სელექტორები, შეთანხმებული ალგორითმები, სიცოცხლის ხანგრძლივობა და მრიცხველები ორივე მიმართულებით. თუ რამდენიმე შვილი არსებობს, შეადარეთ სელექტორებით და არა პოზიციით, რადგან პოზიცია იცვლება გასაღების განახლების შემდეგ. დაწერეთ იდენტიფიკატორები, სანამ რაიმეს შეცვლით.

თუ მშობელი ჩამოთვლის სხვა ტრაფიკის ნაკრებს, ვიდრე თქვენ ამოწმებთ, თქვენ არასწორ შვილს კითხულობთ. ეს სელექტორების პრობლემაა და არა გატეხილი ტუნელი.

ჩაიწერეთ დროის ნიშნულებიც. გასაღების განახლებამ შეიძლება ერთი ფენა შეცვალოს, მეორე კი აწეული დარჩეს, და ახლად შემჩნეული შვილი შეიძლება იყოს იმ შვილის შემცვლელი, რომელსაც აკვირდებოდით. შეადარეთ იდენტიფიკატორები, სანამ დაასკვნით, რომ შვილი გაქრა.

როცა შვილი საერთოდ არ არსებობს

ავტორიზაცია შეიძლება წარმატებით დასრულდეს, მაშინ როცა მონაცემთა წინადადება ან სელექტორები ვარდება, და მშობელი საერთოდ შვილის გარეშე რჩება. ჩვეულებრივი მიზეზი ალგორითმების შეუთავსებლობა ან ტრაფიკის სელექტორების შეუთავსებლობაა, და ორივე მხარე ლოგავს უარყოფილ წინადადებას. წაიკითხეთ ორივე მხარე, რადგან ის მხარე, რომელსაც აღწევთ, შეიძლება მხოლოდ უარყოფა აჩვენებდეს. გამოასწორეთ შეუთავსებლობა და ნუ გადატვირთავთ მშობელს, რადგან ეს იმეორებს იგივე წარუმატებელ მოლაპარაკებას და მტკიცებულებას კიდევ ერთ ჩავარდნას მატებს.

მშობელი, რომელიც გამუდმებით ხელახლა აღდგება, სხვა ჩავარდნაა, ვიდრე მშობელი, რომელიც შვილის გარეშე აწეული რჩება. მეორე შემთხვევაში ლოგები ასახელებენ უარყოფილ წინადადებას, ამიტომ შეაგროვეთ ის ორივე მხრიდან, სანამ პოლიტიკას შეცვლით.

როცა შვილი არსებობს, მაგრამ მრიცხველები ნულზე რჩება

გაგზავნეთ ახალი მოთხოვნა, რომელიც ემთხვევა შვილის სელექტორებს. მოთხოვნა იმ პოლიტიკის გარეთ მყოფ დანიშნულებაზე მის მრიცხველებს არ გაამოძრავებს, რამდენად წარმატებულიც არ უნდა გამოიყურებოდეს.

შეამოწმეთ მარშრუტი, რომელმაც ნაკადი ტუნელში უნდა შეიყვანოს, რადგან ტრაფიკის გარეშე მყოფი შვილი ხშირად ის შვილია, რომლისკენაც არაფერი მიდის. მხოლოდ ერთი მიმართულებით მოძრავი მრიცხველები მიუთითებს დაბრუნების გზაზე სელექტორების ან პოლიტიკის შეუთავსებლობაზე. შეხედეთ დისტანციური მხარის დაბრუნების სელექტორებს, სანამ ლოკალურ მხარეს შეეხებით. ახალი მოთხოვნა ასევე გაძლევთ დროის ნიშნულს, რომელიც ორივე მხარის სტატუსის გამონატანს შეადაროთ.

დაასახელეთ ფენა მოხსენებაში

მოხსენებაში ჩაწერეთ ჩავარდნა სამ ველად და არა განაჩენად: ფენა, რომელიც ჩავარდა, გაცვლა ან შვილი, რომელიც შეამოწმეთ, და მტკიცებულება, რომელიც გაქვთ. ფენა სამიდან ერთია: მშობელი არასდროს აღდგა, შვილის მოლაპარაკება უარყოფილ იქნა, ან შვილი არსებობს და ტრაფიკი მას არ აღწევს. მტკიცებულებაა შვილის იდენტიფიკატორი მისი სელექტორებითა და მრიცხველებით, ან უარყოფილი წინადადება, ციტირებული ორივე ლოგიდან. ამის მკითხველს შეუძლია პირდაპირ გადავიდეს იმ გაცვლაზე, რომელიც მნიშვნელოვანია, და აღარ იკითხოს, რომელი VPN გულისხმობთ.

strongSwan IKEv2-ის დოკუმენტაცია გვიჩვენებს, თუ როგორ ჩნდება ეს ფენები სტატუსის გამონატანში. დაურთეთ შემოწმებული შვილის გამონატანი და არა მხოლოდ მშობლის შეჯამება.