რატომ მუშაობს თქვენი IPsec გვირაბი პირველ CHILD SA გასაღების განახლებამდე

გვირაბი ავიდა, ping-მა უპასუხა და ყველამ ხელი მოაწერა. ოთხი საათის შემდეგ სესია ვარდება, მხარეები პროპოზალის ან გასაღების გაცვლის შეცდომას აფიქსირებენ, და პირველი ვარაუდია, რომ ქსელში რაღაც შეიცვალა. არაფერი შეცვლილა. გვირაბმა, რომელიც ტრაფიკს ატარებს, დაამტკიცა, რომ ორი მხარე თანხმდება, როგორ მოახდინონ ავთენტიფიკაცია და როგორ დაიცვან პირველი შვილობილი ასოციაცია, და ვერაფერი დაუმტკიცებია გასაღების იმ გაცვლაზე, რომელსაც განახლებისას მოითხოვენ. შეუსაბამობა ამ ორ მოვლენას შორის არსებულ ნაპრალში ზის.

დაკავშირება არ ნიშნავს, რომ PFS პარამეტრები ემთხვევა

IKEv2-ით პირველი შვილობილი ასოციაცია ავთენტიფიკაციის გაცვლის დროს იქმნება, და მისი გასაღებები მიიღება იმ მასალისგან, რომელიც IKE ასოციაციამ უკვე წარმოქმნა. ამ შვილისთვის ცალკე Diffie-Hellman გაცვლა არ ხდება, ამიტომ პოლიტიკა, რომელიც განახლებისას მას მოითხოვს, აწევის დროს არ მოწმდება.

განახლება სხვა გაცვლაა. როცა შვილობილი ასოციაციის გასაღები ახლდება, მხარეებს შეუძლიათ ახალი გასაღების გაცვლა თავიანთ პროპოზალებში დასახელებულ ჯგუფთან, და ეს არის პირველი მომენტი, როცა ჯგუფის პარამეტრები შედარებას ექვემდებარება. ამიტომ ორი შეუთანხმებელი მხარე შეიძლება ავთენტიფიცირდეს, დააყენოს შვილობილი ასოციაცია და გაატაროს ტრაფიკი, შემდეგ კი განახლებაზე ჩავარდეს.

სად იმალება შეუსაბამობა პროპოზალის სტრიქონში

strongSwan-ში ჯგუფი ემატება შვილობილ პროპოზალს, ამიტომ სტრიქონი, როგორიცაა aes256gcm16-prfsha256-ecp256 შიფრირების არჩევანს ჰგავს, მაგრამ გასაღების გაცვლის მოთხოვნასაც ატარებს. მხარეს, რომელიც მხოლოდ aes256gcm16-prfsha256 სთავაზობს, ასეთი მოთხოვნა არ აქვს, და ორი სია შიფრირებაზე იკვეთება, გაცვლაზე კი განსხვავდება.

წაიკითხეთ შვილობილი პროპოზალი და IKE პროპოზალი ცალკე სიებად. IKE სიაში მოცემული ჯგუფი შვილობილ სიაზე არაფერს ამბობს, და ერთის რედაქტირება მეორის კითხვისას სწორედ ის ჩვეული გზაა, რომლითაც ეს გამოგვრჩება.

წაიკითხეთ წარუმატებლობა და არა ფაილი, რომელიც შეასწორეთ

იპოვეთ notify, რომელმაც გაცვლა დაასრულა. შვილობილი გასაღების განახლება, რომელიც „მისაღები პროპოზალი არ არის“-ს აბრუნებს, პროპოზალების სიებზე მიუთითებს; განახლების მოთხოვნა, რომელიც არასდროს იღებს პასუხს, მიუთითებს გზაზე ან მხარეზე, რომელმაც სმენა შეწყვიტა. ეს ორი სხვადასხვა შესწორებას მოითხოვს, და ჟურნალის ხაზის ფორმულირება ჰყოფს მათ.

დაადასტურეთ მოქმედი კონფიგურაცია და არა დისკზე არსებული. შენახული, მაგრამ არა ატვირთული ფაილი, ან სხვა include-იდან ხელახლა წაკითხული კავშირი, წარმოქმნის შეუსაბამობას, რომელსაც ხილული ფაილის ვერც ერთი რედაქტირება გამოასწორებს.

სამი მოვლენა, რომლებსაც ყველა გასაღების განახლებას უწოდებს

IKE ასოციაციის გასაღების განახლება, IKE ხელახალი ავთენტიფიკაცია და შვილობილი ასოციაციის გასაღების განახლება ცალკე ოპერაციებია ცალკე პროპოზალის წესებით. ერთ მათგანზე მოხსენებული წარუმატებლობა დანარჩენებზე პირდაპირ არაფერს ამბობს, და ჟურნალი, რომელიც მათ ურევს, ერთ განმეორებად გაუმართაობად იკითხება, თუმცა სამია.

ყურადღება მიაქციეთ, რომელ მოვლენას ასახელებს მხარე, შემდეგ შეამოწმეთ პროპოზალები მხოლოდ ამ მოვლენისთვის. შეცვალეთ ერთი სია, გადატვირთეთ და იძულებით გამოიწვიეთ იგივე მოვლენა. თუ ჟურნალი ხელახალ ავთენტიფიკაციას ასახელებს, IKE პროპოზალია საკითხავი. თუ ის შვილობილი გასაღების განახლებას ასახელებს, მნიშვნელოვან ჯგუფს შვილობილი პროპოზალი ატარებს.

განახლების გამორთვა გამოსწორება არ არის

გასაღების განახლების დროის ნულზე დაყენება თრგუნავს იმ გაცვლას, რომელიც ვარდება, და გვირაბი შემდეგ ძლებს მანამ, სანამ დაიშლება ან მხარე გადაიტვირთება. რაც იყიდეთ, არის უფრო ხანგრძლივი გასაღები და შეუსაბამობა, რომელიც კვლავ შეგხვდებათ მიგრაციის, აუდიტის ან მომწოდებლის განახლების დროს. იგივე ეხება ვადებს, რომლებიც მეორე მხარის მოსალოდნელ პოლიტიკას ბევრად სცდება.

სამაგიეროდ გაასწორეთ პროპოზალები. შეარჩიეთ ჯგუფი, რომელსაც ორივე მხარე ახორციელებს, ჩასვით ის ორივე ბოლოში შვილობილ პროპოზალში, და განახლების პოლიტიკა შეინარჩუნეთ იმ დიაპაზონში, რომელსაც ორგანიზაცია ნამდვილად მოითხოვს.

დაამტკიცეთ ეს იმ გაცვლით, რომელიც ჩავარდა

შეამცირეთ შვილობილი გასაღების განახლების დრო ტექნიკური მომსახურების ფანჯარაში, რომ მოვლენა საათების ნაცვლად წუთებში მოვიდეს, ან ხელით გაუშვით შვილობილი გასაღების განახლება. შემდეგ დააკვირდით წარმატებულ განახლებას და დაადასტურეთ, რომ ტრაფიკი მასში გრძელდება, რადგან ახალი ხელის ჩამორთმევა, რომელიც აყენებს შვილობილ ასოციაციას, მაგრამ აგდებს აპლიკაციის ნაკადს სხვა დეფექტია.

შემდეგ აღადგინეთ ჩვეულებრივი ვადა და შეინახეთ ორივე მოვლენის ჩანაწერი, ჩავარდნილი და წარმატებული. მტკიცებულება, რომელიც გსურთ, არის ის, რომ კავშირი უძლებს საკუთარ სასიცოცხლო ციკლს, და არა ის, რომ უძლო ping-ს.