Jūsu IKEv2 SA darbojas, bet bērna SA nav: izlasiet apmaiņu

IKE saka, ka tunelis darbojas, bērna SA nav, un abi apgalvojumi var būt patiesi vienlaikus. Izveidota vadības attiecība nav datu asociācija, un abiem objektiem ir atsevišķi dzīves laiki, sarunas un atteices režīmi. Pirmā paziņošana kā savienojamība ir ceļš, pa kuru biļete galu galā apgalvo, ka tunelis darbojas, kamēr nekas nedarbojas. Lasiet asociāciju sarakstu, nevis savienojuma kopsavilkuma birku, jo šis saraksts ir vienīgā vieta, kur trūkstošais objekts ir redzams. Tālāk ir secība, kādā saraksts iegūst jēgu.

Divas asociācijas, divi darbi

IKE SA nes vadības kanālu: identitātes, atslēgas un priekšlikumus pašai vadības apmaiņai. Bērna SA nes ESP aizsardzību ar saviem algoritmiem un saviem trafika atlasītājiem. Autentifikācija un bērna SA izveide parasti iet kopā, jo pirmais bērna SA tiek sarunāts IKE_AUTH iekšienē, un tieši šī apvienošana pārsteidz cilvēkus ar atdalīšanu.

Tas izskaidro arī divas atteices formas, ar kurām saskarsities. Sākotnējās apmaiņas laikā noraidītais bērna SA parasti novelk līdzi arī IKE SA, tāpēc jūs neredzat nekādu izveidotu vadības kanālu. Vientuļš IKE SA biežāk nozīmē, ka pirmais bērna SA izdevās un vēlāks mēģinājums izveidot bērna SA neizdevās, piemēram, atslēgu atjaunošanas laikā. Laika zīmes šos gadījumus atdala ātrāk nekā jebkura konfigurācijas pārbaude.

Kurš slānis atteicās

Kad bērna SA tiek noraidīts, paziņojums nosauc slāni. Priekšlikuma noraidījums nozīmē, ka puses nevarēja vienoties par algoritmiem, bieži tāpēc, ka viena prasa citu pilnīgas uz priekšu vērstas slepenības grupu vai šifru, ko otra nepieņems. Atlasītāja noraidījums nozīmē, ka trafika kopa tika noraidīta tieši, un tas ir pārklājuma arguments, nevis kriptogrāfisks.

Dažkārt bērna SA neesamība ir pats dizains. IKE SA bez bērna SA ir definēts paplašinājums, ko izmanto tur, kur datu asociācija jāizveido pēc pieprasījuma, tāpēc neesamība ir pareiza, un bērna SA parādās, kad pienāk atbilstošs trafiks. strongSwan piezīmes par IKEv2 aptver gan pieprasījuma stilu, gan priekšlikuma iestatījumus, kas izšķir pirmo gadījumu.

Pirms diagnostikas pārbaudiet, vai nav pieprasījuma vai slazda konfigurācijas. Ja bērna SA tiek veidoti slinki, bērna SA neesamība miera stāvoklī ir gaidītais stāvoklis, un īstais tests ir, vai trafiks paceļ vienu. Šis tests arī atdala slinku dizainu no klusas atteices, jo neizdevusies izveide atstāj trigeri bez atbildes, nevis tikai miera stāvoklī.

Tad jautājiet par datu ceļu

Kad bērna SA eksistē, uz nākamo jautājumu atbild skaitītāji. ip -s xfrm state ziņo pakešu un baitu skaitu katrai asociācijai, un bērna SA, kas neko nenes, kamēr jūs ģenerējat trafiku, norāda uz saskaņošanu vai maršrutēšanu, nevis uz trūkstošu asociāciju. swanctl --list-sas izdrukā bērna SA atlasītājus blakus šiem skaitītājiem, un tieši tas apstiprina, ka pakete atrodas pieņemtajā kopā.

Turiet atskaiti atsevišķi veiksmīgo autentifikāciju un neizdevušos bērna SA apmaiņu. Ziņojums, kas saka, ka autentifikācija neizdevās, sūta nākamo inženieri uz sertifikātu krātuvi, un precīzais teikums ir daudz īsāks: IKE SA pacēlās, un šīs plūsmas bērna SA nekad netika pieņemts.

Saskaņojiet abus galus

Serverim, ko pārvaldāt paši, paņemiet tās pašas apmaiņas klienta un vārtejas žurnālus, nevis salīdziniet divus atkārtotas savienošanās mēģinājumus ar stundas starpību. Paziņojumiem jāsakrīt abās pusēs, un tur, kur tie nesakrīt, jūs esat atraduši nepareizi konfigurēto pusi.

Izlabojiet bērna SA sarunas, tad vēlreiz pārbaudiet ar trafiku paredzētajā atlasītājā. Šis ir vienīgais tests, kas pierāda, ka trūkstošais objekts tagad ir klāt, jo miera stāvoklī atjaunināts asociāciju saraksts var izskatīties vienādi pirms un pēc labojuma.