IKE SA steet, CHILD SA fehlt: wou d'Date stoppen

De Client seet, hien hätt sech authentifizéiert, den IKE-Status gesäit gesond aus, an d'Paketzieler bleiwen op Null. Dës Kombinatioun ass keen Widdersproch: IKEv2 hält eng Kontrollbezéiung an eng Datenbezéiung getrennt, an déi éischt kann een Erfolleg sinn, während déi zweet ni opkënnt. Den Elteren deel verhandelt; d'Kand deel drot den Trafik. Liest déi zwou Schichten eenzel, ier Dir den Tunnel als futti bezeechent.

Wat déi zwou SA maachen

D'IKE SA ass d'Kontrollbezéiung: si authentifizéiert d'Peers an drot d'Austausch, déi Schutz verhandelen, ersetzen an ewechhuelen. Si drot ni Är Applikatiounspaketen. En gesonden Elteren beweist also just, datt sech déi zwou Enner iwwer d'Sécherheetspolitik eens ginn, an net méi.

Eng CHILD SA ass d'Datenbezéiung, ënner dem Elteren ugeluecht, mat Trafikselektoren a Schlësselmaterial fir eng geschützt Grupp. Si ass direktional, dofir weist d'Statusausgab eng an- an eng ausgängig Associatioun mat getrennten Identifikatoren, an normalerweis getrennten Ziler pro Richtung. Dës Koppel ass de Grond, firwat eng Richtung funktionéiere kann, während déi aner fällt, a firwat de Saz den Tunnel ass uewen näischt iwwer Trafik seet. Een Elteren kann och méi Kanner halen, an esou verstoppt ee Verbindungslabel genau deen, deen Dir braucht.

Liest d'Kand-Andräg, net de Verbindungslabel

Maacht den Elterenstatus an d'Kannelëscht zesummen op, a fannt d'Kand, deem seng Selektoren zum Floss passen, deen Dir testt. Notéiert seng Trafikselektoren, déi verhandelt Algorithmen, seng Liewensdauer an d'Ziler a béide Richtungen. Wann et méi Kanner gëtt, vergläicht iwwer Selektoren an net iwwer Positioun, well d'Positioun no engem Rekey ännert. Schreift d'Identifikatoren op, ier Dir eppes ännert.

Wann den Elteren en anere Trafiksset weist wéi deen, deen Dir testt, liest Dir dat falscht Kand. Dat ass e Selektorproblem, keen futti Tunnel.

Halt Zäitstempel och fest. E Rekey kann eng Schicht ersetzen, während déi aner opgeriicht bleift, an e Kand, dat nei ausgesäit, kann den Ersatz fir deen sinn, deen Dir observéiert hutt. Vergläicht d'Identifikatoren, ier Dir schléisst, datt e Kand verschwonnen ass.

Wann et kee Kand gëtt

D'Authentifikatioun kann een Erfolleg sinn, während den Datenpropos oder d'Selektoren ausfalen, an da bleift en Elteren ganz ouni Kand. Déi üblech Ursaach ass en Algorithmus-Mismatch oder en Trafikselektor-Mismatch, an déi zwou Peers loggen de refuséierte Propos. Liest béi Enner, well d'Säit, déi Dir erreecht, kann nëmme d'Refusatioun weisen. Flickt de Mismatch, amplaz den Elteren nei ze starten, well dat déiselwecht feelgeschloen Verhandlung widderhëlt an dem Beweis nach eng Stéierung bäisetzt.

En Elteren, deen sech ëmmer erëm nei opriicht, ass en anere Fehler wéi en Elteren, dee ouni Kand uewen bleift. Am zweete Fall nennen d'Logs de Propos, dee refuséiert gouf, also sammelt dee Propos vun béide Enner, ier Dir eng Politik ännert.

Wann d'Kand existéiert, awer d'Ziler op Null bleiwen

Schéckt eng frësch Ufro, déi zu de Kand-Selektoren passt. Eng Ufro un en Zil baussent där Politik beweegt seng Ziler net, sou erfollegräich wéi se och ausgesäit.

Kontrolléiert d'Route, déi de Floss an den Tunnel drécke soll, well e Kand ouni Trafik dacks e Kand ass, op dat näischt geroutet gëtt. Ziler, déi sech nëmmen an eng Richtung beweegen, deiten op en Selektor- oder Politik-Mismatch um Réckwee hin. Kuckt op déi rém Selektoren vum entfernte Peer, ier Dir déi lokal Säit beréiert. Eng frësch Ufro gëtt Iech och en Zäitstempel, fir géint d'Statusausgab vun béide Enner ze halen.

Benennt d'Schicht am Rapport

Mellt de Fehler als dräi Felder an net als Urteel: d'Schicht, déi ausgefall ass, den Austausch oder d'Kand, deen Dir gepréift hutt, an de Beweis, deen Dir hutt. D'Schicht ass eng vun dräi: den Elteren ass ni opgeriicht ginn, d'Kand-Verhandlung gouf refuséiert, oder et gëtt e Kand an den Trafik erreecht et net. De Beweis ass d'Kand-Identifikatioun mat hire Selektoren an Ziler, oder de refuséierte Propos, aus béide Logs zitéiert. Wien dat liest, kann direkt op den Austausch goen, deen zielt, an muss net froen, wéi ee VPN Dir mengt.

D'strongSwan IKEv2-Dokumentatioun weist, wéi déi Schichten an der Statusausgab erschéngen. Füügt d'Kand-Ausgab bäi, déi Dir getest hutt, net nëmmen d'Elteren-Zesummefaassung.