ನಿಮ್ಮ IPsec ಸುರಂಗವು ಮೊದಲ CHILD SA ಕೀ ನವೀಕರಣದವರೆಗೆ ಮಾತ್ರ ಏಕೆ ಕೆಲಸ ಮಾಡುತ್ತದೆ

ಸುರಂಗ ಮೇಲೆ ಬಂತು, ping ಉತ್ತರಿಸಿತು, ಮತ್ತು ಎಲ್ಲರೂ ಸಹಿ ಹಾಕಿದರು. ನಾಲ್ಕು ಗಂಟೆಗಳ ನಂತರ ಸೆಷನ್ ಬೀಳುತ್ತದೆ, ಸಹಭಾಗಿಗಳು ಪ್ರಸ್ತಾವ ಅಥವಾ ಕೀ-ವಿನಿಮಯ ದೋಷವನ್ನು ದಾಖಲಿಸುತ್ತಾರೆ, ಮತ್ತು ಮೊದಲ ಊಹೆ ಎಂದರೆ ಜಾಲದಲ್ಲಿ ಏನೋ ಬದಲಾಗಿದೆ. ಏನೂ ಬದಲಾಗಿಲ್ಲ. ಸಂಚಾರವನ್ನು ಸಾಗಿಸುವ ಸುರಂಗವು ಎರಡೂ ಸಹಭಾಗಿಗಳು ದೃಢೀಕರಣ ಹೇಗೆ ಮಾಡಬೇಕು ಮತ್ತು ಮೊದಲ ಚೈಲ್ಡ್ ಸಂಯೋಜನೆಯನ್ನು ಹೇಗೆ ರಕ್ಷಿಸಬೇಕು ಎಂಬುದರಲ್ಲಿ ಒಪ್ಪುತ್ತಾರೆ ಎಂದು ಸಾಬೀತುಪಡಿಸಿದೆ, ಮತ್ತು ನವೀಕರಣದಲ್ಲಿ ಅವರು ಒತ್ತಾಯಿಸುವ ಕೀ-ವಿನಿಮಯದ ಬಗ್ಗೆ ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸಿಲ್ಲ. ಹೊಂದಾಣಿಕೆಯಾಗದಿರುವುದು ಆ ಎರಡು ಘಟನೆಗಳ ನಡುವಿನ ಅಂತರದಲ್ಲಿ ಕುಳಿತಿದೆ.

ಸಂಪರ್ಕಗೊಂಡಿರುವುದು PFS ಸೆಟ್ಟಿಂಗ್‌ಗಳು ಹೊಂದುತ್ತವೆ ಎಂದು ಅರ್ಥವಲ್ಲ

IKEv2 ನಲ್ಲಿ, ಮೊದಲ ಚೈಲ್ಡ್ ಸಂಯೋಜನೆ ದೃಢೀಕರಣ ವಿನಿಮಯದ ಸಮಯದಲ್ಲಿ ಸೃಷ್ಟಿಯಾಗುತ್ತದೆ, ಮತ್ತು ಅದರ ಕೀಗಳು IKE ಸಂಯೋಜನೆ ಈಗಾಗಲೇ ಉತ್ಪಾದಿಸಿದ ವಸ್ತುವಿನಿಂದ ಪಡೆಯಲ್ಪಡುತ್ತವೆ. ಆ ಚೈಲ್ಡ್‌ಗೆ ಪ್ರತ್ಯೇಕ Diffie-Hellman ವಿನಿಮಯ ನಡೆಯುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ನವೀಕರಣದಲ್ಲಿ ಅದನ್ನು ಒತ್ತಾಯಿಸುವ ನೀತಿಯು ಎತ್ತುವ ಸಮಯದಲ್ಲಿ ಪರೀಕ್ಷಿಸಲ್ಪಡುವುದಿಲ್ಲ.

ನವೀಕರಣ ಬೇರೆ ವಿನಿಮಯ. ಚೈಲ್ಡ್ ಸಂಯೋಜನೆಯ ಕೀ ನವೀಕರಿಸಿದಾಗ, ಸಹಭಾಗಿಗಳು ತಮ್ಮ ಪ್ರಸ್ತಾವಗಳಲ್ಲಿ ಹೆಸರಿಸಿದ ಗುಂಪಿನೊಂದಿಗೆ ಹೊಸ ಕೀ-ವಿನಿಮಯ ಮಾಡಬಹುದು, ಮತ್ತು ಗುಂಪಿನ ಸೆಟ್ಟಿಂಗ್‌ಗಳನ್ನು ಮೊದಲ ಬಾರಿಗೆ ಹೋಲಿಸುವ ಕ್ಷಣ ಅದೇ. ಆದ್ದರಿಂದ ಒಪ್ಪದ ಎರಡು ಸಹಭಾಗಿಗಳು ದೃಢೀಕರಿಸಿ, ಚೈಲ್ಡ್ ಸಂಯೋಜನೆ ಸ್ಥಾಪಿಸಿ ಸಂಚಾರ ಸಾಗಿಸಬಹುದು, ನಂತರ ನವೀಕರಣದಲ್ಲಿ ವಿಫಲರಾಗಬಹುದು.

ಪ್ರಸ್ತಾವ ಸ್ಟ್ರಿಂಗ್‌ನಲ್ಲಿ ಹೊಂದಾಣಿಕೆಯಾಗದಿರುವುದು ಎಲ್ಲಿ ಅಡಗಿದೆ

strongSwan ನಲ್ಲಿ ಗುಂಪನ್ನು ಚೈಲ್ಡ್ ಪ್ರಸ್ತಾವಕ್ಕೆ ಸೇರಿಸಲಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ aes256gcm16-prfsha256-ecp256 ನಂತಹ ಸ್ಟ್ರಿಂಗ್ ಎನ್‌ಕ್ರಿಪ್ಷನ್ ಆಯ್ಕೆಯಂತೆ ಕಾಣುತ್ತದೆ ಆದರೆ ಕೀ-ವಿನಿಮಯದ ಅಗತ್ಯವನ್ನೂ ಹೊತ್ತಿರುತ್ತದೆ. ಕೇವಲ aes256gcm16-prfsha256 ನೀಡುವ ಸಹಭಾಗಿಗೆ ಅಂತಹ ಅಗತ್ಯವಿಲ್ಲ, ಮತ್ತು ಎರಡು ಪಟ್ಟಿಗಳು ಎನ್‌ಕ್ರಿಪ್ಷನ್‌ನಲ್ಲಿ ಸಂಧಿಸುತ್ತವೆ ಆದರೆ ವಿನಿಮಯದಲ್ಲಿ ಭಿನ್ನವಾಗುತ್ತವೆ.

ಚೈಲ್ಡ್ ಪ್ರಸ್ತಾವ ಮತ್ತು IKE ಪ್ರಸ್ತಾವವನ್ನು ಪ್ರತ್ಯೇಕ ಪಟ್ಟಿಗಳಾಗಿ ಓದಿ. IKE ಪಟ್ಟಿಯಲ್ಲಿ ಕಾಣುವ ಗುಂಪು ಚೈಲ್ಡ್ ಪಟ್ಟಿಯ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ, ಮತ್ತು ಒಂದನ್ನು ಓದುತ್ತಾ ಇನ್ನೊಂದನ್ನು ಸಂಪಾದಿಸುವುದೇ ಇದನ್ನು ತಪ್ಪಿಸಿಕೊಳ್ಳುವ ಸಾಮಾನ್ಯ ದಾರಿ.

ವಿಫಲತೆಯನ್ನು ಓದಿ, ನೀವು ಸಂಪಾದಿಸಿದ ಕಡತವನ್ನಲ್ಲ

ವಿನಿಮಯವನ್ನು ಮುಗಿಸಿದ notify ಅನ್ನು ಹುಡುಕಿ. ಯಾವುದೇ ಸ್ವೀಕಾರಾರ್ಹ ಪ್ರಸ್ತಾವವನ್ನು ಹಿಂತಿರುಗಿಸದ ಚೈಲ್ಡ್ ಕೀ ನವೀಕರಣವು ಪ್ರಸ್ತಾವ ಪಟ್ಟಿಗಳತ್ತ ಸೂಚಿಸುತ್ತದೆ; ಎಂದಿಗೂ ಉತ್ತರ ಪಡೆಯದ ನವೀಕರಣ ವಿನಂತಿಯು ಮಾರ್ಗದತ್ತ ಅಥವಾ ಕೇಳುವುದನ್ನು ನಿಲ್ಲಿಸಿದ ಸಹಭಾಗಿಯತ್ತ ಸೂಚಿಸುತ್ತದೆ. ಈ ಎರಡಕ್ಕೂ ಬೇರೆ ಬೇರೆ ಸರಿಪಡಿಸುವಿಕೆ ಬೇಕು, ಮತ್ತು ಲಾಗ್ ಸಾಲಿನ ಪದಪುಂಜ ಅವನ್ನು ಬೇರ್ಪಡಿಸುತ್ತದೆ.

ಡಿಸ್ಕ್‌ನಲ್ಲಿರುವದಲ್ಲ, ಚಾಲನೆಯಲ್ಲಿರುವ ಸಂರಚನೆಯನ್ನು ದೃಢೀಕರಿಸಿ. ಉಳಿಸಿ ಲೋಡ್ ಮಾಡದ ಕಡತ, ಅಥವಾ ಇನ್ನೊಂದು include ನಿಂದ ಮತ್ತೆ ಓದಿದ ಸಂಪರ್ಕ, ಕಾಣುವ ಕಡತವನ್ನು ಎಷ್ಟೇ ಸಂಪಾದಿಸಿದರೂ ಸರಿಯಾಗದ ಹೊಂದಾಣಿಕೆಯನ್ನು ಉಂಟುಮಾಡುತ್ತದೆ.

ಎಲ್ಲರೂ ಕೀ ನವೀಕರಣ ಎಂದು ಕರೆಯುವ ಮೂರು ಘಟನೆಗಳು

IKE ಸಂಯೋಜನೆಯ ಕೀ ನವೀಕರಣ, IKE ಮರು-ದೃಢೀಕರಣ ಮತ್ತು ಚೈಲ್ಡ್ ಸಂಯೋಜನೆಯ ಕೀ ನವೀಕರಣ ಪ್ರತ್ಯೇಕ ಪ್ರಸ್ತಾವ ನಿಯಮಗಳಿರುವ ಪ್ರತ್ಯೇಕ ಕ್ರಿಯೆಗಳು. ಅವುಗಳಲ್ಲಿ ಒಂದರಲ್ಲಿ ವರದಿಯಾದ ವಿಫಲತೆ ಉಳಿದವುಗಳ ಬಗ್ಗೆ ನೇರವಾಗಿ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ, ಮತ್ತು ಅವನ್ನು ಮಿಶ್ರಣ ಮಾಡುವ ಲಾಗ್ ಮೂರು ಇದ್ದರೂ ಒಂದೇ ಪುನರಾವರ್ತಿತ ದೋಷದಂತೆ ಓದಿಸುತ್ತದೆ.

ಸಹಭಾಗಿ ಯಾವ ಘಟನೆಯನ್ನು ಹೆಸರಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ಗಮನಿಸಿ, ನಂತರ ಆ ಘಟನೆಗೆ ಮಾತ್ರ ಪ್ರಸ್ತಾವಗಳನ್ನು ಪರಿಶೀಲಿಸಿ. ಒಂದು ಪಟ್ಟಿ ಬದಲಿಸಿ, ಮರುಲೋಡ್ ಮಾಡಿ ಮತ್ತು ಅದೇ ಘಟನೆಯನ್ನು ಮತ್ತೆ ಒತ್ತಾಯಿಸಿ. ಲಾಗ್ ಮರು-ದೃಢೀಕರಣವನ್ನು ಹೆಸರಿಸಿದರೆ, IKE ಪ್ರಸ್ತಾವವೇ ಓದಬೇಕಾದದ್ದು. ಚೈಲ್ಡ್ ಕೀ ನವೀಕರಣ ಎಂದು ಹೆಸರಿಸಿದರೆ, ಮುಖ್ಯವಾದ ಗುಂಪನ್ನು ಚೈಲ್ಡ್ ಪ್ರಸ್ತಾವ ಹೊತ್ತಿರುತ್ತದೆ.

ನವೀಕರಣವನ್ನು ಆಫ್ ಮಾಡುವುದು ಪರಿಹಾರವಲ್ಲ

ಕೀ ನವೀಕರಣದ ಸಮಯವನ್ನು ಶೂನ್ಯಕ್ಕೆ ಇಡುವುದು ವಿಫಲವಾಗುವ ವಿನಿಮಯವನ್ನು ಅಡಗಿಸುತ್ತದೆ, ಮತ್ತು ಸುರಂಗವು ನಂತರ ಒಡೆಯುವವರೆಗೆ ಅಥವಾ ಸಹಭಾಗಿ ಮರುಪ್ರಾರಂಭವಾಗುವವರೆಗೆ ಬದುಕುತ್ತದೆ. ನೀವು ಖರೀದಿಸಿದ್ದು ದೀರ್ಘಾಯುಷ್ಯದ ಕೀ ಮತ್ತು ವಲಸೆ, ಆಡಿಟ್ ಅಥವಾ ಮಾರಾಟಗಾರರ ನವೀಕರಣದ ಸಮಯದಲ್ಲಿ ಮತ್ತೆ ಎದುರಾಗುವ ಹೊಂದಾಣಿಕೆಯಾಗದಿರುವಿಕೆ. ಇನ್ನೊಂದು ಬದಿ ನಿರೀಕ್ಷಿಸುವ ನೀತಿಗಿಂತ ಬಹಳ ಮೀರಿ ಎಳೆದ ಆಯುಷ್ಯಗಳಿಗೂ ಅದೇ ಅನ್ವಯಿಸುತ್ತದೆ.

ಬದಲಿಗೆ ಪ್ರಸ್ತಾವಗಳನ್ನು ಹೊಂದಿಸಿ. ಎರಡೂ ಸಹಭಾಗಿಗಳು ಜಾರಿಗೊಳಿಸುವ ಗುಂಪನ್ನು ಆರಿಸಿ, ಅದನ್ನು ಎರಡೂ ತುದಿಗಳಲ್ಲಿ ಚೈಲ್ಡ್ ಪ್ರಸ್ತಾವದಲ್ಲಿ ಇರಿಸಿ, ಮತ್ತು ನವೀಕರಣ ನೀತಿಯನ್ನು ಸಂಸ್ಥೆ ನಿಜವಾಗಿ ಬಯಸುವ ವ್ಯಾಪ್ತಿಯಲ್ಲಿಡಿ.

ವಿಫಲವಾದ ವಿನಿಮಯದಿಂದ ಅದನ್ನು ಸಾಬೀತುಪಡಿಸಿ

ನಿರ್ವಹಣಾ ಅವಧಿಯಲ್ಲಿ ಚೈಲ್ಡ್ ಕೀ ನವೀಕರಣದ ಸಮಯವನ್ನು ಕಡಿಮೆ ಮಾಡಿ, ಘಟನೆ ಗಂಟೆಗಳ ಬದಲು ನಿಮಿಷಗಳಲ್ಲಿ ಬರಲಿ, ಅಥವಾ ಕೈಯಿಂದ ಚೈಲ್ಡ್ ಕೀ ನವೀಕರಣವನ್ನು ಪ್ರಚೋದಿಸಿ. ನಂತರ ಯಶಸ್ವಿ ನವೀಕರಣವನ್ನು ಗಮನಿಸಿ ಮತ್ತು ಸಂಚಾರ ಅದರ ಮೂಲಕ ಮುಂದುವರಿಯುತ್ತದೆ ಎಂದು ದೃಢೀಕರಿಸಿ, ಏಕೆಂದರೆ ಚೈಲ್ಡ್ ಸಂಯೋಜನೆಯನ್ನು ಸ್ಥಾಪಿಸಿ ಆದರೆ ಅನ್ವಯದ ಹರಿವನ್ನು ಬೀಳಿಸುವ ಹೊಸ ಹಸ್ತಲಾಘವ ಬೇರೆ ದೋಷ.

ನಂತರ ಸಾಮಾನ್ಯ ಆಯುಷ್ಯವನ್ನು ಮರುಸ್ಥಾಪಿಸಿ ಮತ್ತು ಎರಡೂ ಘಟನೆ ದಾಖಲೆಗಳನ್ನು ಇಟ್ಟುಕೊಳ್ಳಿ, ವಿಫಲವಾದದ್ದು ಮತ್ತು ಯಶಸ್ವಿಯಾದದ್ದು. ನೀವು ಬಯಸುವ ಸಾಕ್ಷ್ಯ ಎಂದರೆ ಸಂಪರ್ಕ ತನ್ನದೇ ಜೀವನಚಕ್ರವನ್ನು ದಾಟುತ್ತದೆ, ping ಅನ್ನು ದಾಟಿತು ಎಂಬುದಲ್ಲ.