Сіздің IKEv2 SA көтерілген, бірақ бала SA жоқ: алмасуды оқыңыз

IKE туннель көтерілгенін, бала SA жоқ екенін айтады, және екі тұжырым да бір уақытта ақиқат болуы мүмкін. Орнатылған басқару қатынасы деректер бірлестігі емес, және екі нысанның ғұмыры, келіссөздері және істен шығу режимдері бөлек. Біріншісін байланыс ретінде хабарлау — билеттің соңында туннель көтерілгенін, ал ештеңе жұмыс істемейтінін мәлімдеу жолы осы. Қосылымның жиынтық белгісін емес, бірлестіктер тізімін оқыңыз, өйткені жоқ нысан тек осы тізімде көрінеді. Төмендегі — тізім мағыналы болатын рет.

Екі бірлестік, екі жұмыс

IKE SA басқару арнасын тасымалдайды: сәйкестендірулер, кілттер және басқару алмасуының өзіне арналған ұсыныстар. Бала SA ESP қорғанысын тасымалдайды, өз алгоритмдерімен және өз трафик селекторларымен. Аутентификация мен бала SA құру әдетте бірге жүреді, өйткені бірінші бала SA IKE_AUTH ішінде келісіледі, және дәл осы біріктіру адамдарды бөлінуге таң қалдырады.

Бұл сіз кездесетін екі істен шығу түрін де түсіндіреді. Бастапқы алмасу кезінде қабылданбаған бала SA әдетте IKE SA-ны да бірге түсіреді, сондықтан орнатылған басқару арнасын мүлде көрмейсіз. Жалғыз тұрған IKE SA көбіне бірінші бала SA сәтті болғанын және кейінгі бала SA құру әрекеті сәтсіз аяқталғанын білдіреді, мысалы кілттерді жаңарту кезінде. Уақыт белгілері бұл жағдайларды кез келген конфигурация шолуынан жылдамырақ ажыратады.

Қай қабат бас тартты

Бала SA қабылданбаған кезде хабарлама қабатты атайды. Ұсыныстың қабылданбауы тараптардың алгоритмдер туралы келісе алмағанын білдіреді, көбіне біреуі басқа толық алға бағытталған құпиялылық тобын немесе екіншісі қабылдамайтын шифрды талап еткендіктен. Селектордың қабылданбауы трафик жиынының тікелей қабылданбағанын білдіреді, және бұл қамту дәлелі, криптографиялық дәлел емес.

Кейде бала SA-ның болмауы — дизайнның өзі. Бала SA-сыз IKE SA — деректер бірлестігі сұраныс бойынша құрылуы тиіс жерде қолданылатын анықталған кеңейтім, сондықтан болмауы дұрыс, ал сәйкес трафик келгенде бала SA пайда болады. strongSwan-ның IKEv2 туралы жазбалары сұраныс стилін де, бірінші жағдайды шешетін ұсыныс параметрлерін де қамтиды.

Ақауды диагностикалау алдында сұраныс бойынша немесе тұзақ конфигурациясын тексеріңіз. Егер бала SA-лар жалқау құрылса, тыныштықта бала SA-ның болмауы күтілетін күй, ал нағыз сынақ — трафиктің біреуін көтеретіні. Бұл сынақ жалқау дизайнды үнсіз істен шығудан да ажыратады, өйткені сәтсіз құру триггерді жай ғана тыныш емес, жауапсыз қалдырады.

Содан кейін деректер жолын сұраңыз

Бала SA болғаннан кейін келесі сұраққа есептегіштер жауап береді. ip -s xfrm state әр бірлестік бойынша пакеттер мен байттар санын хабарлайды, және трафик тудырғанда ештеңе тасымайтын бала SA сәйкестендіруге немесе маршруттауға меңзейді жоқ бірлестікке емес. swanctl --list-sas бала SA селекторларын сол есептегіштердің қасында басып шығарады, және дәл осы пакеттің қабылданған жиынның ішінде екенін растайды.

Есепте сәтті аутентификацияны және сәтсіз бала SA алмасуын бөлек ұстаңыз. Аутентификация сәтсіз болды дейтін есеп келесі инженерді сертификат қоймасына жібереді, ал дәл сөйлем әлдеқайда қысқа: IKE SA көтерілді, ал бұл ағын үшін бала SA ешқашан қабылданбады.

Екі ұшты сәйкестендіріңіз

Өзіңіз басқаратын сервер үшін бір сағат айырмашылықпен екі қайта қосылу әрекетін салыстырудың орнына, сол алмасудың клиент және қақпа журналдарын алыңыз. Хабарламалар екі жақта да сәйкес келуі керек, ал сәйкес келмейтін жерде сіз қате конфигурацияланған жақты таптыңыз.

Бала SA келіссөзін түзетіңіз, содан кейін көзделген селектордың ішіндегі трафикпен қайта сынаңыз. Бұл жоқ нысанның енді бар екенін дәлелдейтін жалғыз сынақ, өйткені тыныштықта жаңартылған бірлестіктер тізімі түзетуден бұрын және кейін бірдей көрінуі мүмкін.