IKEv2 ass net een eenzegen Handshake: IKE SA, Authentifikatioun, duerno CHILD SA
D'Äntwert vun engem Gateway beweist Erreechbarkeet, net Identitéit. Verfollegt IKE_SA_INIT, IKE_AUTH an den éischten CHILD SA, a kontrolléiert duerno wat muss wouer sinn ier den Traffic fléisst.
Dir mengt vläicht, eng IKEv2-Verbindung ass een eenzegen Austausch, deen domat ophält, datt Ären Traffic verschlësselt ass. Et sinn op d'mannst zwee, an deen éischten authentifizéiert keen. D'Peere fänken mat Kontrollmessage un, einigen sech op kryptografesch Parameteren, beweise Identitéit a verhandelen eréischt duerno deen Zoustand, deen d'Applikatiounspäckelen dréit. Dee Reiefolleg erkläert déi Diskrepanz, déi d'Leit stänneg mellen: de Gateway äntwert, de Client seet verbonnen, an d'privat Applikatioun leeft nach ëmmer an den Timeout. Hei ass, wat all Etapp tatsächlech mécht, a wat duerno muss wouer sinn.
De Mythos: wann de Gateway äntwert, sidd Dir verbonnen
Eng Äntwert op déi éischt Noriicht beweist, datt den Endpunkt erreechbar an bereet ass ze schwätzen. Si beweist net, datt e Kont ugeholl gouf, datt eng Zertifikatskette validéiert gouf, oder datt eng Datepolitik installéiert gouf.
Déi Feeler geschéien méi spéit, an si produzéieren aner Symptomer. Eng Zertifikatsverworfung oder en EAP-Feeler kënnt nodeems den éischten Austausch schonn erfollegräich war, dofir soen e ping op UDP 500 an e gréngt Client-Ikon sou wéineg.
IKE_SA_INIT: eenegt Iech op Parameteren, net op Identitéit
Den éischten Austausch dréit d'Propositioune fir d'IKE-Sécherheetsassociatioun: Verschlësselungs- an Integritéitsalgorithmen, eng pseudozoufälleg Funktioun an eng Diffie-Hellman-Grupp. D'Peere tauschen och Noncen aus, an all Säit ofleete Schlësselmaterial fir den IKE SA aus dem gedeelte Geheimnis, deen déi Wäerter produzéieren. Näischt an dësem Austausch stellt fest, wien déi aner Partei ass. Et stellt fest, datt béid Säite kënnen déi selwecht Schlësselen berechnen an datt si sech op eng Propositioun eenegen. En Äntwerer, deem keng Propositioun gefällt, verwërft den Austausch hei, dofir gesäit eng Versiouns- oder Algorithmusdiskrepanz aus wéi wann de Server erof wier.
Den IKE SA, deen hei entsteet, schützt all spéider Management-Austausch. Dat ass seng Aufgab, an et ass eng aner Aufgab wéi Är Päckelen ze schützen.
IKE_AUTH: Beweist d'Identitéit a baut dann den éischten CHILD SA
Den zweeten Austausch dréit Identitéit. Mat Zertifikater ënnerschreift all Peer mat sengem private Schlëssel a presentéiert eng Kette, déi deen aneren muss validéieren; mat EAP fuerdert den Äntwerer den Initiator iwwer déi gewielte Method eraus. Hei kommen endlech e falschen Servernumm, en ofgelafenen Zertifikat oder en ofgelehnte Passwuert un d'Luucht.
Am normale Fall verhandelt IKE_AUTH och den éischten CHILD SA, sou datt de Dateschutz am selwechten Hiwen a Her vereenbart gëtt. Den Initiator proposéiert Traffic-Selektoren, den Äntwerer enkert oder verwërft se, an d'Schlëssele fir den Datepad ginn aus dem IKE SA ofgeleet. Dat heescht, een eenzegen Austausch kann op zwou ganz verschiddene Plazen versoen: Identitéit oder Politk. Liest d'Notifikatiounsbelaaschtung oder de Feeler amplaz vum allgemenge Handshake-Feeler, well de Fix fir deen een en Zertifikat ass an dee fir deen aneren eng Subnetzdiskrepanz.
Zwee SA, zwou Aufgaben
| Associatioun | Schützt | Verhalen vun der Liewensdauer |
|---|---|---|
| IKE SA | Management-Austausch: Schlësselneierstellung, Läschen, Konfiguratiounsbelaaschtungen | Gëtt no sengem eegene Plang erneiert; den Datepad kann d'Ännerung iwwerliewen |
| CHILD SA | Applikatiounstraffic, deen zu den Traffic-Selektoren passt | Gëtt onofhängeg erneiert, dacks méi heefeg |
Si getrennt ze halen erkläert zwee Verhalen, déi wéi Feeler ausgesinn. En Tunnel kann als opgebaut ugewise ginn, während am Hannergrond eng Schlësselneierstellung versot, an en CHILD SA kann ersat ginn, ouni datt de Client d'Verbindung verléiert.
Op strongSwan weisen IKEv2-Konfiguratiounsreferenz an swanctl --list-sas béid Niveauen, an ip xfrm state plus ip xfrm policy weisen, wat de Kernel tatsächlech installéiert huet. Dës zwou Usiichten ze vergläichen ass de séierste Wee fir ze gesinn, ob d'Verhandlung fäerdeg war oder just fäerdeg ausgesinn huet. Wann den Daemon en CHILD SA opzielt, fir deen de Kernel keen Zoustand huet, ass d'Installatioun stomm versot. Wann de Kernel en Zoustand huet, deen den Daemon net kennt, kuckt Dir op e Rescht vun engem viirege Versuch.
Wat nach muss wouer sinn, nodeems den Tunnel steet
Traffic-Selektoren definéieren, wéi eng Adressen ofgedeckt sinn. Wann de Client engem Subnetz proposéiert an de Server en aneren erwaart, installéiert sech den CHILD SA, awer en dréit näischt Nëtzlesches, an de Feeler erschéngt als Routingproblem an net als Verhandlungsproblem. Duerno muss de lokale Stack matschaffen: Forwarding aktiv wou den Host routet, Ruten op den Tunnel, Firewallregelen, déi déi dekapsuléiert Päckelen erlaben, an en internen Resolver wann privat Nimm bedeelegt sinn. Jiddweree vun deene versot eenzel, an keen gëtt duerch en Neistart vum IKE-Daemon gefléckt.
Halt d'Log sichtbar wärend Dir diagnostizéiert: den initialen Austausch, duerno d'Identitéitsvalidatioun, dann d'Benotzerauthentifikatioun wou et gëllt, dann d'CHILD-Installatioun an zum Schluss den Applikatiounstraffic. D'Etapp, déi stoe bleift, ass déi ze flécken, an e spéidere Routingfeeler ass ni e Grond, déi Identitéitskontrollen ze lach ze maachen, déi schonn duerchgaange sinn.