IKE SA түзүлдү, CHILD SA жок: маалымат кайдан токтойт

Кардар аутентификациядан өткөнүн айтат, IKE абалы соо көрүнөт, ал эми пакет эсептегичтери нөлдө туруп калат. Бул айкалыш карама-каршылык эмес: IKEv2 башкаруу мамилесин жана маалымат мамилесин өз-өзүнчө кармайт, жана биринчиси ийгиликтүү болушу мүмкүн, экинчиси такыр көтөрүлбөйт. Ата SA сүйлөшүүлөрдү жүргүзөт; бала SA трафикти алып жүрөт. Туннелди иштен кетти деп атоодон мурун эки катмарды өз-өзүнчө окуңуз.

Эки SA эмне кылат

IKE SA — башкаруу мамилеси: ал тараптарды аутентификациялайт жана коргоону сүйлөшүп, алмаштырып, алып салуучу алмашууларды алып жүрөт. Ал сиздин колдонмо пакеттериңизди эч качан алып жүрбөйт. Ошондуктан соо ата SA эки учтун коопсуздук саясаты боюнча макулдаша аларын далилдейт, андан ары эч нерсени эмес.

CHILD SA — маалымат мамилеси, ата SA астында түзүлгөн, бир корголгон топтом үчүн трафик селекторлору жана ачкыч материалы менен. Ал багыттуу, ошондуктан статус чыгарылышы кирүүчү жана чыгуучу ассоциацияны өзүнчө идентификаторлор менен, адатта ар бир багыт үчүн өзүнчө эсептегичтер менен тизет. Ушул жуптук — бир багыт иштеп, экинчиси түшүп калышынын жана туннел көтөрүлдү деген сүйлөмдүн трафик тууралуу эч нерсе айтпашынын себеби. Бир ата SA бир нече бала SA кармай алат, ошону менен бир туташуу белгиси сизге керектүүсүн жашырат.

Туташуу белгисин эмес, бала жазууларды окуңуз

Ата SA статусун жана бала тизмесин чогуу ачып, селекторлору сиз текшерген агымга туура келген баланы табыңыз. Анын трафик селекторлорун, сүйлөшүлгөн алгоритмдерди, жашоо убактысын жана эки багыттагы эсептегичтерди жазып алыңыз. Бир нече бала болсо, позиция боюнча эмес, селекторлор боюнча салыштырыңыз, анткени ачкыч жаңыртылгандан кийин позиция өзгөрөт. Бир нерсени өзгөртүүдөн мурун идентификаторлорду жазып коюңуз.

Эгер ата SA сиз текшергенден башка трафик топтомун тизсе, сиз туура эмес баланы окуп жатасыз. Бул селекторлор маселеси, бузулган туннел эмес.

Убакыт белгилерин да жазыңыз. Ачкычты жаңыртуу бир катмарды алмаштырып, экинчиси орнотулган бойдон калышы мүмкүн, ал эми жаңы көрүнгөн бала сиз көзөмөлдөгөн баланын ордун баскан болушу мүмкүн. Бала жоголду деп тыянак чыгарардан мурун идентификаторлорду салыштырыңыз.

Бала такыр жок болгондо

Маалымат сунушу же селекторлор иштен кетсе да аутентификация ийгиликтүү болушу мүмкүн, ошондо ата SA такыр баласыз калат. Адаттагы себеп — алгоритмдердин дал келбестиги же трафик селекторлорунун дал келбестиги, жана эки тарап тең четке кагылган сунушту логго жазат. Эки учту тең окуңуз, анткени сиз жете алган тарап баш тартууну гана көрсөтүшү мүмкүн. Дал келбестикти түзөтүңүз, ата SAны кайра күйгүзбөңүз, анткени бул ошол эле ийгиликсиз сүйлөшүүнү кайталап, далилге дагы бир тыныгуу кошот.

Дайыма кайра орнотулуучу ата SA баласыз туруп калган ата SAдан башка бузулуу. Экинчи учурда логдор четке кагылган сунушту атайт, ошондуктан саясатты оңдоодон мурун ошол сунушту эки учтан тең жыйнаңыз.

Бала бар, бирок эсептегичтер нөлдө турса

Бала селекторлоруна туура келген жаңы сурам жөнөтүңүз. Ошол саясаттын сыртындагы дарекке сурам канчалык ийгиликтүү көрүнсө да, анын эсептегичтерин козгобойт.

Агымды туннелге түртүүчү маршрутту текшериңиз, анткени трафиги жок бала көбүнчө эч нерсе багытталбаган бала болуп саналат. Бир гана багытта кыймылдаган эсептегичтер кайтаруу жолундагы селектор же саясат дал келбестигин көрсөтөт. Жергиликтүү тарапка тийүүдөн мурун алыскы тараптын кайтаруу селекторлоруна караңыз. Жаңы сурам ошондой эле эки учтун статус чыгарылышы менен салыштырууга убакыт белгисин берет.

Баяндамада катмарды атаңыз

Бузулууну өкүм катары эмес, үч талаа катары билдириңиз: иштен кеткен катмар, текшерген алмашуу же бала, жана колуңуздагы далил. Катмар үчөөнүн бири: ата SA такыр орнотулган эмес, бала сүйлөшүүсү четке кагылган, же бала бар жана трафик ага жетпейт. Далил — селекторлору жана эсептегичтери менен баланын идентификатору, же эки логдон цитаталанган четке кагылган сунуш. Муну окуган адам кайсы VPN жөнүндө айтып жатканыңызды сурабастан, маанилүү алмашууга түз бара алат.

strongSwan IKEv2 документациясы ошол катмарлардын статус чыгарылышында кантип көрүнөрүн көрсөтөт. Сиз текшерген баланын чыгарылышын тиркеңиз, ата SAнын жыйынтыгын гана эмес.