IKE SA izveidots, CHILD SA nav: kur apstājas dati

Klients saka, ka autentifikācija ir izdevusies, IKE statuss izskatās veselīgs, bet pakešu skaitītāji paliek nullē. Šī kombinācija nav pretruna: IKEv2 uztur vadības attiecības un datu attiecības atsevišķi, un pirmās var izdoties, kamēr otrās nekad nepaceļas. Vecāku SA kārto sarunas; bērnu SA pārvada datu plūsmu. Izlasiet abus slāņus atsevišķi, pirms saucat tuneli par bojātu.

Ko dara abi SA

IKE SA ir vadības attiecības: tās autentificē puses un pārvada apmaiņas, kas vienojas par aizsardzību, to aizstāj un noņem. Tās nekad nepārvada jūsu lietotnes paketes. Tāpēc vesels vecāku SA pierāda tikai to, ka abi gali var vienoties par drošības politiku, un neko vairāk.

CHILD SA ir datu attiecības, izveidotas zem vecāku SA, ar datu plūsmas selektoriem un atslēgu materiālu vienai aizsargātai kopai. Tās ir virziena, tāpēc statusa izvade uzskaita ienākošo un izejošo asociāciju ar atsevišķiem identifikatoriem un parasti atsevišķiem skaitītājiem katram virzienam. Šis pāris ir iemesls, kāpēc viens virziens var strādāt, bet otrs nokrīt, un kāpēc frāze tunelis ir pacelts neko nepasaka par datu plūsmu. Viens vecāku SA var turēt vairākus bērnus, un tā viens savienojuma apzīmējums paslēpj to, kas jums vajadzīgs.

Lasiet bērnu ierakstus, nevis savienojuma apzīmējumu

Atveriet vecāku SA statusu un bērnu sarakstu kopā un atrodiet bērnu, kura selektori atbilst pārbaudāmajai plūsmai. Pierakstiet tā datu plūsmas selektorus, saskaņotos algoritmus, tā darbības laiku un skaitītājus abos virzienos. Ja ir vairāki bērni, salīdziniet pēc selektoriem, nevis pēc pozīcijas, jo pozīcija mainās pēc atslēgas atjaunošanas. Pierakstiet identifikatorus, pirms kaut ko maināt.

Ja vecāku SA uzskaita citu datu plūsmas kopu nekā pārbaudāmā, jūs lasāt nepareizo bērnu. Tā ir selektoru problēma, nevis salauzts tunelis.

Fiksējiet arī laika zīmes. Atslēgas atjaunošana var aizstāt vienu slāni, kamēr otrs paliek izveidots, un bērns, kas izskatās jauns, var būt tā aizstājējs, kuru novērojāt. Salīdziniet identifikatorus, pirms secināt, ka bērns pazuda.

Kad bērna vispār nav

Autentifikācija var izdoties, kamēr datu priekšlikums vai selektori cieš neveiksmi, un vecāku SA paliek pilnīgi bez bērna. Parastais cēlonis ir algoritmu nesakritība vai datu plūsmas selektoru nesakritība, un abas puses reģistrē noraidīto priekšlikumu. Lasiet abus galus, jo sasniedzamā puse var rādīt tikai noraidījumu. Izlabojiet nesakritību, nevis pārstartējiet vecāku SA, jo tas atkārto to pašu neizdevušos sarunu un pievieno pierādījumiem vēl vienu pārtraukumu.

Vecāku SA, kas pastāvīgi izveidojas no jauna, ir cita veida kļūme nekā vecāku SA, kas paliek augšā bez bērna. Otrajā gadījumā žurnāli nosauc noraidīto priekšlikumu, tāpēc savāciet šo priekšlikumu no abiem galiem, pirms maināt politiku.

Kad bērns ir, bet skaitītāji paliek nullē

Nosūtiet jaunu pieprasījumu, kas atbilst bērna selektoriem. Pieprasījums uz galamērķi ārpus šīs politikas skaitītājus neizkustinās, lai cik veiksmīgs tas arī izskatītos.

Pārbaudiet maršrutu, kam plūsma jāievirza tunelī, jo bērns bez datu plūsmas bieži ir bērns, uz kuru nekas netiek maršrutēts. Skaitītāji, kas kustas tikai vienā virzienā, norāda uz selektoru vai politikas nesakritību atgriešanās ceļā. Apskatiet attālās puses atgriešanās selektorus, pirms aiztiecat vietējo pusi. Jauns pieprasījums arī dod laika zīmi, ko salīdzināt ar abu galu statusa izvadi.

Nosauciet slāni ziņojumā

Ziņojiet par kļūmi kā trīs laukus, nevis kā spriedumu: slānis, kas sabojājās, apmaiņa vai bērns, ko pārbaudījāt, un pierādījumi, kas jums ir. Slānis ir viens no trim: vecāku SA nekad netika izveidots, bērna sarunas tika noraidītas vai bērns pastāv un datu plūsma to nesasniedz. Pierādījumi ir bērna identifikators ar tā selektoriem un skaitītājiem vai noraidītais priekšlikums, citēts no abiem žurnāliem. Ikviens, kas to lasa, var doties tieši uz nozīmīgo apmaiņu un nejautāt, kuru VPN jūs domājat.

strongSwan IKEv2 dokumentācija parāda, kā šie slāņi parādās statusa izvadē. Pievienojiet pārbaudītā bērna izvadi, nevis tikai vecāku SA kopsavilkumu.