თქვენი IKEv2 SA მუშაობს, მაგრამ შვილობილი SA არ არსებობს: წაიკითხეთ გაცვლა

IKE ამბობს, რომ გვირაბი მუშაობს, შვილობილი SA არ არსებობს, და ორივე განცხადება შეიძლება ერთდროულად ჭეშმარიტი იყოს. დამყარებული კონტროლის ურთიერთობა მონაცემთა ასოციაცია არ არის, და ორ ობიექტს ცალკე სიცოცხლის ხანგრძლივობა, მოლაპარაკება და მარცხის რეჟიმები აქვს. პირველის დაკავშირებადობად მოხსენება ის გზაა, რომლითაც ბილეთი საბოლოოდ ამტკიცებს, რომ გვირაბი მუშაობს, მაშინ როცა არაფერი მუშაობს. წაიკითხეთ ასოციაციების სია და არა კავშირის შემაჯამებელი იარლიყი, რადგან ეს სია ერთადერთი ადგილია, სადაც დაკარგული ობიექტი ჩანს. შემდეგი არის ის თანმიმდევრობა, რომლითაც სია აზრს იძენს.

ორი ასოციაცია, ორი საქმე

IKE SA ატარებს კონტროლის არხს: იდენტობები, გასაღებები და წინადადებები თავად კონტროლის გაცვლისთვის. შვილობილი SA ატარებს ESP დაცვას, საკუთარი ალგორითმებით და საკუთარი ტრაფიკის სელექტორებით. ავთენტიფიკაცია და შვილობილი SA-ის შექმნა ჩვეულებრივ ერთად მიდის, რადგან პირველი შვილობილი SA IKE_AUTH-ის შიგნით მიიღება, და სწორედ ეს გაერთიანება აკვირვებს ადამიანებს ამ გაყოფით.

ეს ასევე ხსნის მარცხის ორ ფორმას, რომლებსაც შეხვდებით. საწყისი გაცვლის დროს უარყოფილი შვილობილი SA ჩვეულებრივ IKE SA-საც ჩამოჰყავს, ამიტომ დამყარებულ კონტროლის არხს საერთოდ ვერ ხედავთ. მარტო მდგარი IKE SA უფრო ხშირად ნიშნავს, რომ პირველი შვილობილი SA წარმატებით შეიქმნა, ხოლო მოგვიანებით შვილობილი SA-ის შექმნის მცდელობა ჩავარდა, მაგალითად გასაღებების განახლებისას. დროის ნიშნები ამ შემთხვევებს ყველაზე სწრაფად ჰყოფს, ვიდრე რომელიმე კონფიგურაციის გადახედვა.

რომელმა ფენამ უარი თქვა

როცა შვილობილი SA უარყოფილია, შეტყობინება ფენას ასახელებს. წინადადების უარყოფა ნიშნავს, რომ მხარეები ალგორითმებზე ვერ შეთანხმდნენ, ხშირად იმიტომ, რომ ერთი მხარე სხვა სრულყოფილი წინმსწრები საიდუმლოების ჯგუფს ან ისეთ შიფრს მოითხოვს, რომელსაც მეორე არ მიიღებს. სელექტორის უარყოფა ნიშნავს, რომ ტრაფიკის ნაკრები პირდაპირ უარყოფილია, და ეს დაფარვის არგუმენტია და არა კრიპტოგრაფიული.

ზოგჯერ შვილობილი SA-ის არარსებობა თავად დიზაინია. IKE SA შვილობილი SA-ის გარეშე განსაზღვრული გაფართოებაა, რომელსაც იყენებენ იქ, სადაც მონაცემთა ასოციაცია მოთხოვნით უნდა შეიქმნას, ამიტომ არარსებობა სწორია და შვილობილი SA ჩნდება მაშინ, როცა შესაბამისი ტრაფიკი მოვა. strongSwan-ის შენიშვნები IKEv2-ზე ფარავს როგორც მოთხოვნით სტილს, ისე წინადადების იმ პარამეტრებს, რომლებიც პირველ შემთხვევას წყვეტს.

სანამ ხარვეზს დაადგენთ, შეამოწმეთ მოთხოვნით ან ხაფანგის კონფიგურაცია არსებობს თუ არა. თუ შვილობილი SA-ები ზარმაცად იქმნება, მოსვენებულ მდგომარეობაში მათი არარსებობა მოსალოდნელი მდგომარეობაა, და ნამდვილი გამოცდა ის არის, ასწევს თუ არა ტრაფიკი ერთს. ეს გამოცდა ზარმაც დიზაინს ჩუმი მარცხისგანაც ჰყოფს, რადგან წარუმატებელი შექმნა ტრიგერს უპასუხოდ ტოვებს და არა უბრალოდ მოსვენებულს.

შემდეგ ჰკითხეთ მონაცემთა გზაზე

როცა შვილობილი SA არსებობს, შემდეგ კითხვას მრიცხველები პასუხობენ. ip -s xfrm state ყოველ ასოციაციაზე პაკეტებისა და ბაიტების რაოდენობას იუწყება, და შვილობილი SA, რომელიც არაფერს ატარებს, სანამ თქვენ ტრაფიკს აწარმოებთ, შესაბამისობაზე ან მარშრუტიზაციაზე მიუთითებს არა დაკარგულ ასოციაციაზე. swanctl --list-sas შვილობილი SA-ის სელექტორებს იმ მრიცხველების გვერდით ბეჭდავს, და სწორედ ეს ადასტურებს, რომ პაკეტი მიღებული ნაკრების შიგნითაა.

ანგარიშში ცალ-ცალკე შეინახეთ წარმატებული ავთენტიფიკაცია და ჩავარდნილი შვილობილი SA-ის გაცვლა. ანგარიში, რომელიც ამბობს, რომ ავთენტიფიკაცია ჩავარდა, შემდეგ ინჟინერს სერტიფიკატების საცავთან აგზავნის, და ზუსტი წინადადება ბევრად მოკლეა: IKE SA ამუშავდა, და ამ ნაკადისთვის შვილობილი SA არასოდეს მიღებულა.

დააკავშირეთ ორი ბოლო

სერვერისთვის, რომელსაც თავად მართავთ, აიღეთ იმავე გაცვლის კლიენტისა და კარიბჭის ჟურნალები, ნაცვლად იმისა, რომ ერთი საათის სხვაობით ორი ხელახალი დაკავშირების მცდელობა შეადაროთ. შეტყობინებები ორივე მხარეს უნდა ემთხვეოდეს, და სადაც არ ემთხვევა, თქვენ იპოვეთ არასწორად კონფიგურირებული მხარე.

გამოასწორეთ შვილობილი SA-ის მოლაპარაკება, შემდეგ კვლავ გამოსცადეთ განზრახული სელექტორის შიგნით არსებული ტრაფიკით. ეს ერთადერთი გამოცდაა, რომელიც ამტკიცებს, რომ დაკარგული ობიექტი ახლა არსებობს, რადგან მოსვენებულ მდგომარეობაში განახლებული ასოციაციების სია შეიძლება ერთნაირად გამოიყურებოდეს შესწორებამდე და შემდეგ.