Сиздин IKEv2 SA көтөрүлдү, бирок бала SA жок: алмашууну окуңуз

IKE туннел көтөрүлгөнүн, бала SA жок экенин айтат, жана эки билдирүү тең бир убакта туура болушу мүмкүн. Орнотулган башкаруу мамилеси маалымат биримдиги эмес, жана эки объектинин өмүрү, сүйлөшүүлөрү жана иштебей калуу режимдери өзүнчө. Биринчисин туташуу катары билдирүү — билет акыры туннел көтөрүлдү, бирок эч нерсе иштебейт деп ырастоо жолу. Туташуунун жыйынтык белгисин эмес, биримдиктер тизмесин окуңуз, анткени жок объект ушул тизмеде гана көрүнөт. Төмөндөгү — тизменин маанилүү болгон тартиби.

Эки биримдик, эки иш

IKE SA башкаруу каналын ташыйт: идентификаторлар, ачкычтар жана башкаруу алмашуусунун өзү үчүн сунуштар. Бала SA ESP коргоосун ташыйт, өзүнүн алгоритмдери жана өзүнүн трафик селекторлору менен. Аутентификация жана бала SA түзүү адатта чогуу жүрөт, анткени биринчи бала SA IKE_AUTH ичинде сүйлөшүлөт, жана дал ушул бириктирүү адамдарды бул бөлүнүүгө таң калтырат.

Бул сиз жолуга турган ийгиликсиздиктин эки формасын да түшүндүрөт. Баштапкы алмашуу учурунда четке кагылган бала SA адатта IKE SAны да кошо түшүрөт, ошондуктан орнотулган башкаруу каналын такыр көрбөйсүз. Жалгыз турган IKE SA көбүнчө биринчи бала SA ийгиликтүү болгонун жана кийинки бала SA түзүү аракети ийгиликсиз болгонун билдирет, мисалы ачкычтарды жаңыртуу учурунда. Убакыт белгилери бул учурларды каалаган конфигурация текшерүүсүнөн тезирээк ажыратат.

Кайсы катмар баш тартты

Бала SA четке кагылганда, эскертүү катмарды атайт. Сунуштун четке кагылышы тараптар алгоритмдер боюнча макулдаша албаганын билдирет, көбүнчө бири башка толук алдыга карай жашыруундук тобун же экинчиси кабыл албай турган шифрди талап кылгандыктан. Селектордун четке кагылышы трафик топтому түздөн-түз четке кагылганын билдирет, жана бул камтуу аргументи, криптографиялык эмес.

Кээде бала SAнын жоктугу — долбоордун өзү. Бала SAсыз IKE SA — маалымат биримдиги суроо боюнча түзүлүшү керек жерде колдонулуучу аныкталган кеңейтүү, ошондуктан жоктугу туура, ал эми дал келген трафик келгенде бала SA пайда болот. strongSwanдын IKEv2 боюнча жазуулары суроо стилин да, биринчи учурду чечүүчү сунуш параметрлерин да камтыйт.

Бузулууну диагностикалоодон мурун суроо боюнча же тузак конфигурациясын текшериңиз. Эгер бала SAлар жалкоо түзүлсө, тынч абалда бала SAнын жоктугу күтүлгөн абал, жана чыныгы сыноо — трафик бирөөнү көтөрөбү. Бул сыноо жалкоо долбоорду үнсүз ийгиликсиздиктен да ажыратат, анткени ийгиликсиз түзүү триггерди жөн гана тынч эмес, жоопсуз калтырат.

Анан маалымат жолун сураңыз

Бала SA болгондон кийин кийинки суроого эсептегичтер жооп берет. ip -s xfrm state ар биримдик боюнча пакеттер жана байттар санын билдирет, жана трафик жаратканда эч нерсе ташыбаган бала SA дал келүүгө же маршруттоого көрсөтөт жок биримдикке эмес. swanctl --list-sas бала SAнын селекторлорун ошол эсептегичтердин жанында басып чыгарат, жана пакеттин кабыл алынган топтомдун ичинде экенин дал ушул тастыктайт.

Отчётто ийгиликтүү аутентификацияны жана ийгиликсиз бала SA алмашуусун өзүнчө кармаңыз. Аутентификация ийгиликсиз болду деген отчёт кийинки инженерди сертификат кампасына жиберет, ал эми так сүйлөм алда канча кыска: IKE SA көтөрүлдү, ал эми бул агым үчүн бала SA эч качан кабыл алынган эмес.

Эки учун дал келтириңиз

Өзүңүз башкарган сервер үчүн бир саат айырма менен эки кайра туташуу аракетин салыштыруунун ордуна, ошол эле алмашуунун клиент жана дарбаза журналдарын алыңыз. Эскертүүлөр эки тарапта тең дал келиши керек, ал эми дал келбеген жерде сиз туура эмес конфигурацияланган тарапты таптыңыз.

Бала SA сүйлөшүүсүн оңдоп, анан көздөлгөн селектордун ичиндеги трафик менен кайра сынаңыз. Бул жок объектинин азыр бар экенин далилдеген жалгыз сыноо, анткени тынч абалда жаңыртылган биримдиктер тизмеси оңдоодон мурун жана кийин бирдей көрүнүшү мүмкүн.