IKE SA sukurtas, CHILD SA nėra: kur sustoja duomenys

Klientas sako, kad autentifikacija pavyko, IKE būsena atrodo sveika, o paketų skaitikliai lieka nulyje. Šis derinys nėra prieštaravimas: IKEv2 valdymo ryšį ir duomenų ryšį laiko atskirai, ir pirmasis gali pavykti, o antrasis taip ir nepakyla. Tėvinis SA tvarko derybas; vaikinis SA tvarko srautą. Perskaitykite du sluoksnius atskirai, prieš pavadindami tunelį sugedusiu.

Ką veikia du SA

IKE SA yra valdymo ryšys: jis autentifikuoja šalis ir perduoda mainus, kurie derasi dėl apsaugos, ją pakeičia ir pašalina. Jis niekada neperduoda jūsų programos paketų. Todėl sveikas tėvinis SA įrodo tik tai, kad abu galai gali susitarti dėl saugumo politikos, ir nieko daugiau.

CHILD SA yra duomenų ryšys, sukurtas po tėviniu SA, su srauto selektoriais ir raktų medžiaga vienam apsaugotam rinkiniui. Jis kryptinis, todėl būsenos išvestis išvardija įeinantį ir išeinantį susiejimą su atskirais identifikatoriais ir paprastai atskirais skaitikliais kiekvienai krypčiai. Ši pora yra priežastis, kodėl viena kryptis gali veikti, o kita krinta, ir kodėl frazė tunelis pakeltas nieko nesako apie srautą. Vienas tėvinis SA gali turėti kelis vaikinius, ir taip viena jungties etiketė paslepia tą, kurio jums reikia.

Skaitykite vaikinius įrašus, o ne jungties etiketę

Atidarykite tėvinio SA būseną ir vaikinių sąrašą kartu ir raskite vaikinį, kurio selektoriai atitinka tikrinamą srautą. Užsirašykite jo srauto selektorius, suderintus algoritmus, jo galiojimo laiką ir skaitiklius abiem kryptimis. Jei yra keli vaikiniai, lyginkite pagal selektorius, o ne pagal poziciją, nes pozicija pasikeičia po rakto atnaujinimo. Užsirašykite identifikatorius, prieš ką nors keisdami.

Jei tėvinis SA išvardija kitą srauto rinkinį nei tikrinamas, jūs skaitote ne tą vaikinį. Tai selektorių problema, o ne sugedęs tunelis.

Fiksuokite ir laiko žymas. Rakto atnaujinimas gali pakeisti vieną sluoksnį, o kitas lieka sukurtas, ir naujai atrodantis vaikinis gali būti to, kurį stebėjote, pakaitalas. Palyginkite identifikatorius, prieš darydami išvadą, kad vaikinis dingo.

Kai vaikinio apskritai nėra

Autentifikacija gali pavykti, o duomenų pasiūlymas ar selektoriai žlunga, ir tėvinis SA lieka visiškai be vaikinio. Įprasta priežastis yra algoritmų neatitikimas arba srauto selektorių neatitikimas, ir abi šalys registruoja atmestą pasiūlymą. Skaitykite abu galus, nes pasiekiama pusė gali rodyti tik atmetimą. Ištaisykite neatitikimą, o ne perkraukite tėvinį SA, nes tai kartoja tą pačią nepavykusią derybą ir prideda dar vieną trikdį prie įrodymų.

Tėvinis SA, kuris nuolat kuriamas iš naujo, yra kitokia bėda nei tėvinis SA, kuris laikosi be vaikinio. Antruoju atveju žurnalai įvardija atmestą pasiūlymą, todėl surinkite tą pasiūlymą iš abiejų galų, prieš keisdami politiką.

Kai vaikinis yra, bet skaitikliai lieka nulyje

Siųskite naują užklausą, atitinkančią vaikinio selektorius. Užklausa į paskirties vietą, esančią už tos politikos ribų, skaitiklių nepajudins, kad ir kaip sėkmingai ji atrodytų.

Patikrinkite maršrutą, kuris turėtų nukreipti srautą į tunelį, nes vaikinis be srauto dažnai yra vaikinis, į kurį niekas nemaršrutizuojama. Skaitikliai, judantys tik viena kryptimi, rodo selektorių ar politikos neatitikimą grįžimo kelyje. Pažiūrėkite į nuotolinės šalies grįžimo selektorius, prieš liesdami vietinę pusę. Nauja užklausa taip pat duoda laiko žymą, kurią galima palyginti su abiejų galų būsenos išvestimi.

Įvardykite sluoksnį ataskaitoje

Praneškite apie gedimą kaip tris laukus, o ne kaip nuosprendį: sluoksnis, kuris sugedo, mainai ar vaikinis, kuriuos tikrinote, ir turimi įrodymai. Sluoksnis yra vienas iš trijų: tėvinis SA niekada nebuvo sukurtas, vaikinio derybos buvo atmestos arba vaikinis egzistuoja ir srautas jo nepasiekia. Įrodymai yra vaikinio identifikatorius su jo selektoriais ir skaitikliais arba atmestas pasiūlymas, pacituotas iš abiejų žurnalų. Kas tai skaito, gali iš karto pereiti prie reikšmingų mainų ir nebeklausti, kurį VPN turite omenyje.

strongSwan IKEv2 dokumentacija rodo, kaip tie sluoksniai atrodo būsenos išvestyje. Pridėkite išbandyto vaikinio išvestį, o ne tik tėvinio SA santrauką.