Неге сіздің IPsec туннеліңіз бірінші CHILD SA кілтін жаңартқанға дейін жұмыс істейді

Туннель көтерілді, ping жауап берді және бәрі қол қойды. Төрт сағаттан кейін сессия түседі, тараптар ұсыныс немесе кілт алмасу қатесін тіркейді, ал бірінші болжам желіде бірдеңе өзгерді дегенге саяды. Ештеңе өзгерген жоқ. Трафикті тасымалдайтын туннель екі тараптың аутентификация жасау және бірінші балалық ассоциацияны қорғау тәсілінде келісетінін дәлелдеді және жаңарту кезінде талап ететін кілт алмасу туралы ештеңе дәлелдеген жоқ. Сәйкессіздік осы екі оқиға арасындағы саңылауда жатыр.

Қосылу PFS параметрлерінің сәйкес келуін білдірмейді

IKEv2 кезінде бірінші балалық ассоциация аутентификация алмасуы кезінде жасалады, ал оның кілттері IKE ассоциациясы әлдеқашан өндірген материалдан алынады. Сол бала үшін бөлек Diffie-Hellman алмасуы болмайды, сондықтан жаңарту кезінде оны талап ететін саясат көтеру кезінде тексерілмейді.

Жаңарту — басқа алмасу. Балалық ассоциацияның кілті жаңартылғанда, тараптар ұсыныстарында аталған топпен жаңа кілт алмасуды орындауы мүмкін, және бұл топ параметрлері алғаш салыстырылатын сәт. Сондықтан келіспейтін екі тарап аутентификация жасап, балалық ассоциация орнатып, трафикті өткізіп, содан кейін жаңартуда сәтсіздікке ұшырауы мүмкін.

Сәйкессіздік ұсыныс жолында қайда жасырылады

strongSwan-да топ балалық ұсынысқа қосылады, сондықтан aes256gcm16-prfsha256-ecp256 сияқты жол шифрлау таңдауына ұқсайды, бірақ кілт алмасу талабын да алып жүреді. Тек aes256gcm16-prfsha256 ұсынатын тарапта ондай талап жоқ, және екі тізім шифрлауда қиылысады, ал алмасуда алшақтайды.

Балалық ұсыныс пен IKE ұсынысын бөлек тізім ретінде оқыңыз. IKE тізімінде көрінген топ балалық тізім туралы ештеңе айтпайды, ал бірін оқып отырып екіншісін өңдеу — мұны байқамаудың әдеттегі жолы.

Сәтсіздікті оқыңыз, өңдеген файлды емес

Алмасуды аяқтаған notify-ді табыңыз. «Қабылдауға болатын ұсыныс жоқ» қайтаратын балалық кілт жаңартуы ұсыныс тізімдеріне нұсқайды; ешқашан жауап алмайтын жаңарту сұрауы жолға немесе тыңдауды тоқтатқан тарапқа нұсқайды. Бұл екеуіне түрлі түзету керек, және журнал жолының тұжырымы оларды ажыратады.

Дискідегі емес, жұмыс істеп тұрған конфигурацияны растаңыз. Сақталған, бірақ жүктелмеген файл немесе басқа include-дан қайта оқылған қосылым көрінетін файлды қанша өңдесеңіз де түзетілмейтін сәйкессіздік тудырады.

Барлығы кілт жаңарту деп аталатын үш оқиға

IKE ассоциациясының кілтін жаңарту, IKE қайта аутентификациясы және балалық ассоциацияның кілтін жаңарту — бөлек ұсыныс ережелері бар бөлек операциялар. Олардың бірінде хабарланған сәтсіздік қалғандары туралы тікелей ештеңе айтпайды, ал оларды араластыратын журнал үшеу болса да бір қайталанатын ақау сияқты оқылады.

Тарап қай оқиғаны атайтынына назар аударыңыз, содан кейін ұсыныстарды тек сол оқиға үшін тексеріңіз. Бір тізімді өзгертіңіз, қайта жүктеңіз және сол оқиғаны қайта мәжбүрлеңіз. Егер журнал қайта аутентификацияны атаса, оқылатын — IKE ұсынысы. Егер ол балалық кілт жаңартуын атаса, маңызды топты балалық ұсыныс алып жүреді.

Жаңартуды өшіру — түзету емес

Кілт жаңарту уақытын нөлге қою сәтсіздікке ұшырайтын алмасуды басады, ал туннель содан кейін бұзылғанша немесе тарап қайта іске қосылғанша өмір сүреді. Сіз сатып алғаныңыз — ұзақ өмірлі кілт және көшіру, аудит немесе жеткізуші жаңартуы кезінде қайта кездесетін сәйкессіздік. Сол қарсы тарап күтетін саясаттан әлдеқайда асыра созылған мерзімдерге де қатысты.

Оның орнына ұсыныстарды үйлестіріңіз. Екі тарап та іске асыратын топты таңдаңыз, оны екі ұштағы балалық ұсынысқа қойыңыз және жаңарту саясатын ұйым шынымен талап ететін ауқымда ұстаңыз.

Оны сәтсіздікке ұшыраған алмасумен дәлелдеңіз

Балалық кілт жаңарту уақытын техникалық қызмет көрсету терезесінде қысқартыңыз, сонда оқиға сағаттармен емес, минуттармен келеді, немесе балалық кілт жаңартуын қолмен іске қосыңыз. Содан кейін сәтті жаңартуды бақылаңыз және трафиктің ол арқылы жалғасатынын растаңыз, өйткені балалық ассоциацияны орнатып, бірақ қолданба ағынын тастайтын жаңа қол алысу басқа ақау.

Содан кейін қалыпты мерзімді қалпына келтіріңіз және екі оқиға жазбасын да сақтаңыз, сәтсіз және сәтті. Сіз қалайтын дәлел — байланыс өз өмірлік циклінде тұрақты болуы, ping-нен өткені емес.