Ären IKEv2-SA ass uewen, awer et gëtt keen Kand-SA: liest den Austausch

IKE seet, den Tunnel ass uewen, de Kand-SA feelt, an déi zwou Aussoen kënnen zur selwechter Zäit wouer sinn. Eng etabléiert Kontrollbezéiung ass keng Datenassociatioun, an déi zwou Objete hunn getrennte Liewensdaueren, Verhandlungen a Fehlermodi. Déi éischt als Konnektivitéit ze mellen ass de Wee, op deem en Ticket um Enn behaapt, den Tunnel ass uewen, während näischt funktionéiert. Liest d'Associatiounslëscht anstatt d'Zesummefaassungslabel vun der Verbindung, well déi Lëscht ass déi eenzeg Plaz, wou dat fehlend Objet ze gesinn ass. Wat follegt ass d'Reiefolleg, an där d'Lëscht Sënn mécht.

Zwou Associatiounen, zwou Aufgaben

En IKE-SA dréit de Kontrollkanal: Identitéiten, Schlësselen an d'Virschléi fir den Kontrollaustausch selwer. E Kand-SA dréit d'ESP-Schutz, mat sengen eegenen Algorithmen a sengen eegenen Trafikselektoren. Authentifikatioun a Kand-SA-Schafung ginn normalerweis zesummen, well deen éischten Kand-SA am IKE_AUTH verhandelt gëtt, an genau déi Bündelung iwwerrascht d'Leit mat der Trennung.

Dat erkläert och déi zwou Forme vu Feeler, op déi Dir stousst. E Kand-SA, deen am initialen Austausch refuséiert gëtt, hëlt normalerweis den IKE-SA mat erof, sou datt Dir guer keen etabléierte Kontrollkanal gesitt. En IKE-SA, deen eleng steet, bedeit méi dacks, datt deen éischten Kand-SA gelungen ass an datt e spéideren Versuch, e Kand-SA ze schafen, gescheitert ass, zum Beispill bei enger Schlësselerneierung. Zäitstempel trennen déi Fäll méi séier wéi all Konfiguratiounsiwwerpréiwung.

Wéi eng Schicht huet refuséiert

Wann e Kand-SA refuséiert gëtt, nennt d'Notifikatioun d'Schicht. Eng Refus vum Virschlag bedeit, datt d'Parte sech net op Algorithmen eeneg konnte ginn, dacks well deen een eng aner Grupp fir perfekt Virwäertsgeheimnis oder eng Chiffre verlangt, déi deen aneren net akzeptéiert. Eng Refus vum Selektor bedeit, datt den Trafiksset direkt ofgeleent gouf, an dat ass en Deckungsargument, keen kryptographescht.

Heiansdo ass de Fehlen vun engem Kand-SA d'Design. En IKE-SA ouni Kand-SA ass eng definéiert Erweiderung, déi do benotzt gëtt, wou d'Datenassociatioun op Ufro soll geschafe ginn, also ass d'Fehlen richteg an de Kand-SA erschéngt, wann passenden Trafik ukënnt. D'Notizen vum strongSwan iwwer IKEv2 decken souwuel den Op-Ufro-Stil wéi och d'Virschlagsastellungen, déi iwwer deen éischte Fall entscheeden.

Kuckt no enger Op-Ufro- oder Fal-Configuratioun, ier Dir e Feeler diagnostizéiert. Wann d'Kand-SAen liddereg geschafe ginn, ass kee Kand-SA am Rou deen erwaarten Zoustand, an den eigentleche Test ass, ob den Trafik een eropbréngt. Dee Test trennt och en lidderen Design vun engem stille Feeler, well eng gescheitert Schafung den Ausléiser ouni Äntwert looss an net nëmmen am Rou.

Dann freet no dem Datenwee

Soubal e Kand-SA existéiert, äntweren d'Zieler op déi nächst Fro. ip -s xfrm state mellt Pakets- a Bytezuelen pro Associatioun, an e Kand-SA, deen näischt dréit, während Dir Trafik generéiert, deit op d'Zesummepassen oder d'Routing anstatt op eng fehlend Associatioun. swanctl --list-sas dréckt d'Selektoren vum Kand-SA nieft deenen Zieler, an dat bestätegt, datt de Paket bannent dem akzeptéierte Set läit.

Halt d'erfollegräich Authentifikatioun an den gescheiterten Kand-SA-Austausch am Bericht getrennt. E Bericht, deen seet, d'Authentifikatioun wier gescheitert, schéckt den nächsten Ingenieur an de Zertifikatsspäicher, an dee geneeze Saz ass vill méi kuerz: den IKE-SA ass eropkomm, an de Kand-SA fir dëse Floss gouf ni akzeptéiert.

Korreléiert déi zwou Enner

Fir e Server, deen Dir selwer bedreift, hëlt d'Client- an Gateway-Logs fir deen selwechten Austausch, amplaz zwee Versich nei ze verbannen eng Stonn ausernee ze vergläichen. D'Notifikatioune sollten op béide Säiten iwwereneen stimmen, a wou se et net maachen, hutt Dir d'Säit fonnt, déi falsch konfiguréiert ass.

Korrigéiert d'Kand-SA-Verhandlung, a test dann nach eng Kéier mat Trafik bannent dem virgesinnene Selektor. Dat ass deen eenzegen Test, deen beweist, datt dat fehlend Objet elo do ass, well eng Associatiounslëscht, déi am Rou frësch gemaach gëtt, virun an no der Korrektur identesch ausgesinn kann.