IKE SA орнатылды, CHILD SA жоқ: деректер қай жерде тоқтайды
Орнатылған IKE SA деректердің ағып жатқанын білдірмейді. Еншілес жазбаларды оқып, селекторлар мен есептегіштерді тексеріңіз және шынымен қай қабат істен шыққанын атаңыз.
Клиент аутентификациядан өткенін айтады, IKE күйі сау көрінеді, ал пакет есептегіштері нөлде тұрып қалады. Бұл үйлесім қайшылық емес: IKEv2 басқару қатынасы мен деректер қатынасын бөлек ұстайды, және біріншісі сәтті болуы мүмкін, ал екіншісі ешқашан көтерілмейді. Ата-ана SA келіссөзді жүргізеді; еншілес SA трафикті тасымалдайды. Туннельді істен шыққан деп атамас бұрын екі қабатты бөлек оқыңыз.
Екі SA не істейді
IKE SA — басқару қатынасы: ол тараптарды аутентификациялайды және қорғанысты келісетін, ауыстыратын және жоятын алмасуларды тасымалдайды. Ол сіздің қолданба пакеттеріңізді ешқашан тасымалдамайды. Сондықтан сау ата-ана SA екі жақтың қауіпсіздік саясаты туралы келісе алатынын дәлелдейді, одан артық ештеңе емес.
CHILD SA — деректер қатынасы, ата-ана SA астында құрылған, бір қорғалған жиын үшін трафик селекторлары мен кілт материалымен. Ол бағыттық, сондықтан күй шығысы кіретін және шығатын ассоциацияны бөлек идентификаторлармен, әдетте әр бағыт үшін бөлек есептегіштермен көрсетеді. Осы жұптық — бір бағыттың жұмыс істеп, екіншісінің түсіп қалуының және туннель көтерілді деген сөз тіркесінің трафик туралы ештеңе айтпауының себебі. Бір ата-ана SA бірнеше еншілес SA ұстай алады, осылайша бір қосылым белгісі сізге керегін жасырады.
Қосылым белгісін емес, еншілес жазбаларды оқыңыз
Ата-ана SA күйін және еншілес тізімін бірге ашып, селекторлары тексеріп жатқан ағынға сәйкес келетін еншілесті табыңыз. Оның трафик селекторларын, келісілген алгоритмдерді, өмір сүру уақытын және екі бағыттағы есептегіштерді жазып алыңыз. Бірнеше еншілес болса, позиция бойынша емес, селекторлар бойынша салыстырыңыз, өйткені кілт жаңартылғаннан кейін позиция өзгереді. Бірдеңені өзгертуден бұрын идентификаторларды жазып қойыңыз.
Егер ата-ана SA сіз тексеріп жатқаннан өзге трафик жиынын көрсетсе, сіз дұрыс емес еншілесті оқып отырсыз. Бұл селекторлар мәселесі, бұзылған туннель емес.
Уақыт белгілерін де жазып алыңыз. Кілтті жаңарту бір қабатты ауыстырып, екіншісі орнатылған күйде қалуы мүмкін, ал жаңа болып көрінген еншілес сіз бақылаған еншілестің орнын басқан болуы мүмкін. Еншілес жоғалды деп қорытынды жасамас бұрын идентификаторларды салыстырыңыз.
Еншілес мүлдем болмаған кезде
Аутентификация сәтті болуы мүмкін, ал деректер ұсынысы немесе селекторлар істен шығады, сонда ата-ана SA мүлдем еншілессіз қалады. Әдеттегі себеп — алгоритмдердің сәйкессіздігі немесе трафик селекторларының сәйкессіздігі, және екі тарап та қабылданбаған ұсынысты логқа жазады. Екі жақты да оқыңыз, өйткені сіз жете алатын жақ тек бас тартуды көрсетуі мүмкін. Сәйкессіздікті түзетіңіз, ата-ана SA-ны қайта қоспаңыз, өйткені бұл сол сәтсіз келіссөзді қайталайды және дәлелге тағы бір іркіліс қосады.
Үнемі қайта орнатылатын ата-ана SA — еншілессіз тұрып қалатын ата-ана SA-дан өзгеше ақау. Екінші жағдайда логтар қабылданбаған ұсынысты атайды, сондықтан саясатты өзгертуден бұрын сол ұсынысты екі жақтан да жинаңыз.
Еншілес бар, бірақ есептегіштер нөлде тұрса
Еншілес селекторларына сәйкес келетін жаңа сұраныс жіберіңіз. Осы саясаттан тыс мекенжайға сұраныс қаншалықты сәтті көрінсе де, оның есептегіштерін қозғамайды.
Ағынды туннельге итеретін маршрутты тексеріңіз, өйткені трафигі жоқ еншілес көбіне ешнәрсе бағытталмаған еншілес болып табылады. Тек бір бағытта қозғалатын есептегіштер қайтару жолындағы селектор немесе саясат сәйкессіздігін көрсетеді. Жергілікті жаққа тиюден бұрын қашықтағы тараптың қайтару селекторларына қараңыз. Жаңа сұраныс сондай-ақ екі жақтың күй шығысымен салыстыруға уақыт белгісін береді.
Есепте қабатты атаңыз
Ақауды үкім ретінде емес, үш өріс ретінде хабарлаңыз: істен шыққан қабат, тексерген алмасу немесе еншілес, және қолыңыздағы дәлел. Қабат үшеуінің бірі: ата-ана SA ешқашан орнатылмады, еншілес келіссөзі қабылданбады, немесе еншілес бар және трафик оған жетпейді. Дәлел — селекторлары мен есептегіштері бар еншілес идентификаторы немесе екі логтан дәйектелген қабылданбаған ұсыныс. Мұны оқыған адам қай VPN туралы айтып жатқаныңызды сұрамай-ақ, маңызды алмасуға тікелей бара алады.
strongSwan IKEv2 құжаттамасы осы қабаттардың күй шығысында қалай көрінетінін көрсетеді. Тексеген еншілес шығысын тіркеңіз, тек ата-ана қорытындысын емес.