IKEv2 nav viena rokasspiediena: IKE SA, autentifikācija, tad CHILD SA
Vārtejas atbilde pierāda sasniedzamību, nevis identitāti. Izsekojiet IKE_SA_INIT, IKE_AUTH un pirmajam CHILD SA, tad pārbaudiet, kam jābūt patiesam pirms trafika plūsmas.
Jūs varētu domāt, ka IKEv2 savienojums ir viena apmaiņa, kas beidzas ar šifrētu trafiku. To ir vismaz divas, un pirmā nevienu neautentificē. Puses sāk ar vadības ziņojumiem, vienojas par kriptogrāfijas parametriem, pierāda identitāti un tikai pēc tam apspriež stāvokli, kas pārvadā lietotnes paketes. Šī secība izskaidro neatbilstību, par ko cilvēki pastāvīgi ziņo: vārteja atbild, klients rāda savienojumu, bet privātā lietotne joprojām pārsniedz laika limitu. Lūk, ko katrs posms patiešām dara un kam pēc tā jābūt patiesam.
Mīts: ja vārteja atbild, jūs esat savienots
Atbilde uz pirmo ziņojumu pierāda, ka galapunkts ir sasniedzams un gatavs runāt. Tā nepierāda, ka konts ir pieņemts, ka sertifikātu ķēde ir validēta vai ka ir instalēta kāda datu politika.
Šīs kļūmes notiek vēlāk, un tām ir citi simptomi. Sertifikāta noraidījums vai EAP kļūme pienāk pēc tam, kad pirmā apmaiņa jau ir izdevusies, tāpēc ping uz UDP 500 un zaļa klienta ikona pasaka tik maz.
IKE_SA_INIT: vienojieties par parametriem, nevis identitāti
Pirmā apmaiņa pārvadā IKE drošības asociācijas priekšlikumus: šifrēšanas un integritātes algoritmus, pseidogadījuma funkciju un Diffie-Hellman grupu. Puses arī apmainās ar nonce vērtībām, un katra puse atvasina IKE SA atslēgu materiālu no koplietotā noslēpuma, ko šīs vērtības rada. Nekas šajā apmaiņā nenosaka, kas ir otra puse. Tā nosaka, ka abas puses var aprēķināt vienas un tās pašas atslēgas un ka tās vienojas par priekšlikumu. Atbildētājs, kuram nepatīk neviens priekšlikums, šeit noraida apmaiņu, tāpēc versijas vai algoritma neatbilstība izskatās kā izslēgts serveris.
Šajā brīdī izveidotais IKE SA aizsargā visas vēlākās vadības apmaiņas. Tas ir tā darbs, un tas ir cits darbs nekā jūsu pakešu aizsardzība.
IKE_AUTH: pierādiet identitāti un pēc tam izveidojiet pirmo CHILD SA
Otrā apmaiņa pārvadā identitāti. Ar sertifikātiem katra puse paraksta ar savu privāto atslēgu un uzrāda ķēdi, kas otrai pusei jāvalidē; ar EAP atbildētājs izaicina iniciatoru ar izvēlēto metodi. Šeit beidzot parādās nepareizs servera nosaukums, beidzies sertifikāts vai noraidīta parole.
Parasti IKE_AUTH apspriež arī pirmo CHILD SA, tāpēc datu aizsardzība tiek saskaņota tajā pašā aplī. Iniciators piedāvā trafika selektorus, atbildētājs tos sašaurina vai noraida, un datu ceļa atslēgas tiek atvasinātas no IKE SA. Tas nozīmē, ka viena apmaiņa var neizdoties divās ļoti atšķirīgās vietās: identitātē vai politikā. Lasiet paziņojuma kravu vai kļūdu, nevis vispārīgo rokasspiediena kļūmi, jo vienam risinājums ir sertifikāts, bet otram – apakštīkla neatbilstība.
Divi SA, divi darbi
| Asociācija | Aizsargā | Darbības ilguma uzvedība |
|---|---|---|
| IKE SA | Vadības apmaiņas: atslēgu atjaunošana, dzēšana, konfigurācijas kravas | Atjaunojas pēc sava grafika; datu ceļš var pārdzīvot izmaiņas |
| CHILD SA | Lietotnes trafiks, kas atbilst trafika selektoriem | Atjaunojas neatkarīgi, bieži biežāk |
To atdalīšana izskaidro divas uzvedības, kas izskatās kā kļūdas. Tunelis var izskatīties izveidots, kamēr fonā neizdodas atslēgu atjaunošana, un CHILD SA var tikt aizstāts, klientam nezaudējot savienojumu.
Vidē strongSwan IKEv2 konfigurācijas atsauce un swanctl --list-sas rāda abus līmeņus, un ip xfrm state kopā ar ip xfrm policy rāda, ko kodols patiešām instalēja. Šo divu skatu salīdzināšana ir ātrākais veids, kā redzēt, vai sarunas beidzās vai tikai izskatījās pabeigtas. Ja dēmons uzskaita CHILD SA, kuram kodolam nav stāvokļa, instalācija klusi neizdevās. Ja kodolam ir stāvoklis, ko dēmons nezina, jūs skatāties iepriekšējā mēģinājuma atlikumu.
Kam vēl jābūt patiesam pēc tuneļa pacelšanas
Trafika selektori nosaka, kuras adreses ir aptvertas. Ja klients piedāvā vienu apakštīklu, bet serveris gaida citu, CHILD SA tiek instalēts, bet nepārvadā neko lietderīgu, un kļūda parādās kā maršrutēšanas, nevis sarunu problēma. Tad vietējam stekam jāsadarbojas: pāradresācija ieslēgta tur, kur saimnieks maršrutē, maršruti uz tuneli, ugunsmūra noteikumi, kas atļauj atkapsulētās paketes, un iekšējais risinātājs, ja iesaistīti privāti nosaukumi. Katrs no tiem neizdodas atsevišķi, un nevienu neizlabo IKE dēmona restartēšana.
Diagnozes laikā turiet žurnālu redzamu: sākotnējā apmaiņa, tad identitātes validācija, pēc tam lietotāja autentifikācija, kur tā attiecas, tad CHILD instalācija un visbeidzot lietotnes trafiks. Posms, kas apstājas, ir jālabo, un vēlāka maršrutēšanas kļūme nekad nav iemesls vājināt jau izturētās identitātes pārbaudes.