IKEv2 бір қол алысу емес: IKE SA, аутентификация, содан кейін CHILD SA
Шлюздің жауабы қолжетімділікті дәлелдейді, бірақ сәйкестікті емес. IKE_SA_INIT, IKE_AUTH және бірінші CHILD SA-ны қадағалап, трафик өтер алдында не шын болуы керегін тексеріңіз.
IKEv2 қосылымы трафигіңіз шифрланып аяқталатын бір айырбас деп ойлауыңыз мүмкін. Шын мәнінде кемінде екеу, және біріншісі ешкімді аутентификацияламайды. Тараптар бақылау хабарламаларынан бастайды, криптографиялық параметрлер туралы келіседі, сәйкестікті дәлелдейді және содан кейін ғана қолданба пакеттерін тасымалдайтын күй туралы келіссөз жүргізеді. Дәл осы рет адамдар үнемі шағымданатын сәйкессіздікті түсіндіреді: шлюз жауап береді, клиент қосылғанын айтады, ал жеке қолданба әлі де уақыт шегінен шығады. Мұнда әр кезеңнің шын мәнінде не істейтіні және одан кейін не шын болуы керегі көрсетілген.
Аңыз: шлюз жауап берсе, сіз қосылғансыз
Бірінші хабарламаға жауап соңғы нүктенің қолжетімді және сөйлесуге дайын екенін дәлелдейді. Ол шот қабылданғанын, сертификаттар тізбегі расталғанын немесе қандай да бір деректер саясаты орнатылғанын дәлелдемейді.
Бұл сәтсіздіктер кейінірек болады және әртүрлі белгілер береді. Сертификаттан бас тарту немесе EAP қатесі бірінші айырбас сәтті аяқталғаннан кейін келеді, сондықтан UDP 500-ге ping және клиенттің жасыл белгішесі соншалықты аз нәрсе айтады.
IKE_SA_INIT: сәйкестік емес, параметрлер туралы келісіңіз
Бірінші айырбас IKE қауіпсіздік ассоциациясы үшін ұсыныстарды тасымалдайды: шифрлау және тұтастық алгоритмдері, псевдо-кездейсоқ функция және Diffie-Hellman тобы. Тараптар nonce-тарды да алмасады, және әр тарап IKE SA үшін кілт материалын осы мәндер жасайтын ортақ құпиядан алады. Бұл айырбаста ешнәрсе екінші тараптың кім екенін анықтамайды. Ол екі жақтың бірдей кілттерді есептей алатынын және бір ұсыныс бойынша келісетінін анықтайды. Ешбір ұсыныс ұнамайтын жауап беруші айырбасты осы жерде қабылдамайды, сондықтан нұсқа немесе алгоритм сәйкессіздігі сервер өшіп қалғандай көрінеді.
Осы сәтте жасалған IKE SA барлық кейінгі басқару айырбастарын қорғайды. Бұл оның міндеті, және бұл сіздің пакеттеріңізді қорғаудан өзгеше міндет.
IKE_AUTH: сәйкестікті дәлелдеңіз, содан кейін бірінші CHILD SA құрыңыз
Екінші айырбас сәйкестікті тасымалдайды. Сертификаттармен әр тарап өз жеке кілтімен қол қояды және екіншісі растауға тиіс тізбекті ұсынады; EAP-пен жауап беруші бастаушыға таңдалған әдіспен сынақ жібереді. Дәл осы жерде қате сервер атауы, мерзімі өткен сертификат немесе қабылданбаған құпиясөз ақыры анықталады.
Әдеттегі жағдайда IKE_AUTH бірінші CHILD SA туралы да келіседі, сондықтан деректерді қорғау сол барыс-келісте келісіледі. Бастаушы трафик селекторларын ұсынады, жауап беруші оларды тарылтады немесе қабылдамайды, ал деректер жолының кілттері IKE SA-дан алынады. Бұл бір айырбастың екі мүлде басқа жерде сәтсіз болуы мүмкін екенін білдіреді: сәйкестікте немесе саясатта. Жалпы қол алысу сәтсіздігінің орнына хабарлама жүктемесін немесе қатені оқыңыз, өйткені біреуінің емі сертификат, екіншісінің емі ішкі желі сәйкессіздігі.
Екі SA, екі міндет
| Ассоциация | Қорғайды | Ғұмыр мерзімінің мінез-құлқы |
|---|---|---|
| IKE SA | Басқару айырбастары: кілттерді жаңарту, жою, конфигурация жүктемелері | Өз кестесі бойынша жаңартылады; деректер жолы бұл өзгеріске төтеп бере алады |
| CHILD SA | Трафик селекторларына сәйкес келетін қолданба трафигі | Дербес жаңартылады, жиі жиірек |
Оларды бөлек ұстау қатеге ұқсайтын екі мінез-құлықты түсіндіреді. Туннель орнатылған болып көрінуі мүмкін, ал фонда кілттерді жаңарту сәтсіз болып жатса, және клиент байланысты жоғалтпай CHILD SA ауыстырылуы мүмкін.
strongSwan-да IKEv2 конфигурация анықтамасы және swanctl --list-sas екі деңгейді де көрсетеді, ал ip xfrm state қоса ip xfrm policy ядроның шын мәнінде нені орнатқанын көрсетеді. Осы екі көріністі салыстыру келіссөз аяқталды ма, әлде тек аяқталғандай көрінді ме, соны білудің ең жылдам жолы. Егер демон ядрода күйі жоқ CHILD SA тізімдесе, орнату үнсіз сәтсіз аяқталды. Егер ядро демон білмейтін күйді ұстаса, сіз бұрынғы әрекеттің қалдығын көріп отырсыз.
Туннель көтерілгеннен кейін де не шын болуы керек
Трафик селекторлары қай мекенжайлардың қамтылатынын анықтайды. Егер клиент бір ішкі желіні ұсынса, ал сервер басқасын күтсе, CHILD SA орнатылады, бірақ пайдалы ештеңе тасымалдамайды, және қате келіссөз емес, маршруттау мәселесі ретінде көрінеді. Содан кейін жергілікті стек ынтымақтасуы керек: хост маршруттайтын жерде қайта жіберу қосылған, туннельге бағытталған маршруттар, декапсуляцияланған пакеттерге рұқсат беретін фаервол ережелері және жеке атаулар қатысса, ішкі шешуші. Олардың әрқайсысы бөлек сәтсіз болады және ешқайсысы IKE демонын қайта іске қосумен түзелмейді.
Диагностика кезінде журналды көрінетін күйде ұстаңыз: бастапқы айырбас, содан кейін сәйкестікті тексеру, одан кейін қолданылатын жерде пайдаланушы аутентификациясы, содан кейін CHILD орнату және соңында қолданба трафигі. Тоқтайтын кезең — түзетуге тиіс кезең, ал кейінгі маршруттау ақауы ешқашан өтіп кеткен сәйкестік тексерулерін әлсіретуге себеп болмайды.