IKEv2 бир кол алышуу эмес: IKE SA, аутентификация, анан CHILD SA
Шлюздун жообу жеткиликтүүлүктү далилдейт, идентификацияны эмес. IKE_SA_INIT, IKE_AUTH жана биринчи CHILD SA-ны ээрчип, трафик өтөөр алдында эмне чын болушу керектигин текшериңиз.
IKEv2 байланышы трафигиңиз шифрленип бүтө турган бир алмашуу деп ойлошуңуз мүмкүн. Чынында алар кеминде экөө, жана биринчиси эч кимди аутентификациялабайт. Тараптар башкаруу билдирүүлөрүнөн башташат, криптографиялык параметрлер боюнча макулдашат, инсанды далилдешет жана ошондон кийин гана колдонмо пакеттерин ташыган абал боюнча сүйлөшүү жүргүзүшөт. Ушул тартип эл дайыма кабарлаган дал келбестикти түшүндүрөт: шлюз жооп берет, кардар туташты деп айтат, ал эми жеке колдонмо дагы эле убакыт чегинен өтөт. Бул жерде ар бир баскыч чындап эмне кылаары жана андан кийин эмне чын болушу керектиги көрсөтүлгөн.
Уламыш: шлюз жооп берсе, сиз туташкансыз
Биринчи билдирүүгө жооп акыркы чекит жеткиликтүү жана сүйлөшүүгө даяр экенин далилдейт. Ал эсеп кабыл алынгандыгын, сертификаттар чынжыры текшерилгендигин же кандайдыр бир маалымат политикасы орнотулгандыгын далилдебейт.
Бул каталар кийинчерээк болуп, башка белгилерди берет. Сертификаттан баш тартуу же EAP катасы биринчи алмашуу ийгиликтүү бүткөндөн кийин келет, ошондуктан UDP 500 ге ping жана кардардын жашыл белгиси ушунчалык аз нерсе айтат.
IKE_SA_INIT: инсан боюнча эмес, параметрлер боюнча макулдашыңыз
Биринчи алмашуу IKE коопсуздук ассоциациясы үчүн сунуштарды ташыйт: шифрлоо жана бүтүндүк алгоритмдери, псевдо-кокустук функция жана Diffie-Hellman тобу. Тараптар nonce-лорду да алмашат, жана ар бир тарап IKE SA үчүн ачкыч материалын ушул маанилер жараткан жалпы сырдан алат. Бул алмашууда эч нерсе экинчи тарап ким экенин аныктабайт. Ал эки тарап тең бирдей ачкычтарды эсептей аларын жана бир сунуш боюнча макулдашканын аныктайт. Эч бир сунуш жакпаган жооп берүүчү алмашууну ушул жерде четке кагат, ошондуктан версия же алгоритм дал келбестиги сервер өчүп калгандай көрүнөт.
Ушул учурда түзүлгөн IKE SA кийинки бардык башкаруу алмашууларын коргойт. Бул анын иши, жана бул сиздин пакеттериңизди коргоодон башка иш.
IKE_AUTH: инсанды далилдеңиз, анан биринчи CHILD SA куруңуз
Экинчи алмашуу инсанды ташыйт. Сертификаттар менен ар бир тарап өз жеке ачкычы менен кол коюп, экинчи тарап текшерүүгө тийиш болгон чынжырды сунуштайт; EAP менен жооп берүүчү баштоочуга тандалган ыкма аркылуу чакырык жөнөтөт. Ушул жерде туура эмес сервер аталышы, мөөнөтү бүткөн сертификат же четке кагылган сырсөз акыры ачылат.
Адатта IKE_AUTH биринчи CHILD SA боюнча да сүйлөшөт, ошондуктан маалыматты коргоо ошол эле барып-келүүдө макулдашат. Баштоочу трафик селекторлорун сунуштайт, жооп берүүчү аларды тарылтат же четке кагат, ал эми маалымат жолунун ачкычтары IKE SA-дан алынат. Бул бир алмашуу эки такыр башка жерде ийгиликсиз болушу мүмкүн дегенди билдирет: инсанда же саясатта. Жалпы кол алышуу катасынын ордуна билдирүү жүктөмүн же катаны окуңуз, анткени биринин дабасы сертификат, экинчисиники ички тармак дал келбестиги.
Эки SA, эки иш
| Ассоциация | Коргойт | Жашоо мөөнөтүнүн жүрүм-туруму |
|---|---|---|
| IKE SA | Башкаруу алмашуулары: ачкычтарды жаңыртуу, жок кылуу, конфигурация жүктөмдөрү | Өз графиги боюнча жаңыртылат; маалымат жолу бул өзгөрүүгө туруштук бере алат |
| CHILD SA | Трафик селекторлоруна дал келген колдонмо трафиги | Өз алдынча жаңыртылат, көбүнчө тезирээк |
Аларды өз-өзүнчө кармоо каталарга окшош эки жүрүм-турумду түшүндүрөт. Туннель орнотулгандай көрүнүшү мүмкүн, ал эми фондо ачкычтарды жаңыртуу ийгиликсиз болуп жатса, жана кардар байланышты жоготпой CHILD SA алмаштырылышы мүмкүн.
strongSwan-до IKEv2 конфигурация шилтемеси жана swanctl --list-sas эки деңгээлди тең көрсөтөт, ал эми ip xfrm state менен ip xfrm policy ядро чындап эмнени орнотконун көрсөтөт. Бул эки көрүнүштү салыштыруу сүйлөшүү бүттүбү же бүткөндөй гана көрүндүбү деп билүүнүн эң тез жолу. Эгер демон ядродо абалы жок CHILD SA тизмектесе, орнотуу үнсүз ийгиликсиз болгон. Эгер ядро демон билбеген абалды кармаса, сиз мурунку аракеттин калдыгын көрүп жатасыз.
Туннель көтөрүлгөндөн кийин да эмне чын болушу керек
Трафик селекторлору кайсы даректер камтылганын аныктайт. Эгер кардар бир ички тармакты сунуштап, сервер башкасын күтсө, CHILD SA орнотулат, бирок пайдалуу эч нерсе ташыбайт, жана ката сүйлөшүү эмес, маршруттоо маселеси катары көрүнөт. Андан кийин жергиликтүү стек кызматташуусу керек: хост маршруттаган жерде кайра жөнөтүү күйгүзүлгөн, туннелге багытталган маршруттар, декапсуляцияланган пакеттерге уруксат берген фаервол эрежелери жана жеке аттар катышса ички чечүүчү. Алардын ар бири өз-өзүнчө ийгиликсиз болот жана эч бири IKE демонун кайра иштетүү менен оңдолбойт.
Диагностика учурунда журналды көрүнүп тургандай кармаңыз: баштапкы алмашуу, анан инсанды текшерүү, андан кийин колдонулуучу жерде колдонуучу аутентификациясы, анан CHILD орнотуу жана акырында колдонмо трафиги. Токтогон баскыч — оңдоого тийиш баскыч, ал эми кийинки маршруттоо катасы эч качан өтүп кеткен инсан текшерүүлөрүн алсыратууга себеп болбойт.