Kāpēc jūsu IPsec tunelis strādā līdz pirmajai CHILD SA atslēgas atjaunošanai

Tunelis pacēlās, ping atbildēja, un visi parakstījās. Četras stundas vēlāk sesija nokrīt, puses reģistrē piedāvājuma vai atslēgu apmaiņas kļūdu, un pirmais pieņēmums ir, ka tīklā kaut kas mainījās. Nekas nemainījās. Tunelis, kas pārvadā satiksmi, ir pierādījis, ka abas puses vienojas, kā autentificēt un kā aizsargāt pirmo atvasināto asociāciju, un nav pierādījis neko par atslēgu apmaiņu, ko tās pieprasīs atjaunošanā. Neatbilstība atrodas spraugā starp šiem diviem notikumiem.

Pievienots nenozīmē, ka PFS iestatījumi sakrīt

Ar IKEv2 pirmā atvasinātā asociācija tiek izveidota autentifikācijas apmaiņas laikā, un tās atslēgas tiek atvasinātas no materiāla, ko IKE asociācija jau ir radījusi. Šai atvasinātajai asociācijai atsevišķa Diffie-Hellman apmaiņa nenotiek, tāpēc politika, kas to pieprasa atjaunošanā, pacelšanas laikā netiek pārbaudīta.

Atjaunošana ir cita apmaiņa. Kad atvasinātās asociācijas atslēga tiek atjaunota, puses var veikt jaunu atslēgu apmaiņu ar grupu, kas nosaukta viņu piedāvājumos, un tas ir pirmais brīdis, kad grupas iestatījumi tiek salīdzināti. Tāpēc divas puses, kas nevienojas, var autentificēties, instalēt atvasināto asociāciju un laist satiksmi, un pēc tam neizdoties atjaunošanā.

Kur piedāvājuma virknē slēpjas neatbilstība

strongSwan grupa tiek pievienota atvasinātajam piedāvājumam, tāpēc virkne, piemēram, aes256gcm16-prfsha256-ecp256 izskatās kā šifrēšanas izvēle, bet arī nes atslēgu apmaiņas prasību. Pusei, kas piedāvā tikai aes256gcm16-prfsha256 šādas prasības nav, un abi saraksti krustojas šifrēšanā, bet atšķiras apmaiņā.

Lasiet atvasināto piedāvājumu un IKE piedāvājumu kā atsevišķus sarakstus. Grupa, kas parādās IKE sarakstā, neko nepasaka par atvasināto sarakstu, un viena rediģēšana, lasot otru, ir ierastais veids, kā to palaist garām.

Lasiet kļūdu, nevis failu, ko rediģējāt

Atrodiet notify, kas beidza apmaiņu. Atvasinātās atslēgas atjaunošana, kas atgriež «nav pieņemama piedāvājuma», norāda uz piedāvājumu sarakstiem; atjaunošanas pieprasījums, kas nekad nesaņem atbildi, norāda uz ceļu vai pusi, kas pārstāja klausīties. Šiem diviem vajadzīgi dažādi labojumi, un žurnāla rindas formulējums tos šķir.

Apstipriniet darbojošos konfigurāciju, nevis to, kas ir diskā. Fails, kas saglabāts, bet nav ielādēts, vai savienojums, kas nolasīts no cita include, radīs neatbilstību, ko neviens redzamā faila labojums neizlabos.

Trīs notikumi, kurus visus sauc par atslēgas atjaunošanu

IKE asociācijas atslēgas atjaunošana, IKE atkārtota autentifikācija un atvasinātās asociācijas atslēgas atjaunošana ir atsevišķas darbības ar atsevišķiem piedāvājuma noteikumiem. Kļūda, kas ziņota par vienu no tām, neko tieši nepasaka par pārējām, un žurnāls, kas tās sajauc, lasās kā viens atkārtots defekts, lai gan tās ir trīs.

Ievērojiet, kuru notikumu puse nosauc, tad pārbaudiet piedāvājumus tikai šim notikumam. Mainiet vienu sarakstu, ielādējiet no jauna un atkal piespiediet to pašu notikumu. Ja žurnāls nosauc atkārtotu autentifikāciju, lasāms ir IKE piedāvājums. Ja tas nosauc atvasinātās atslēgas atjaunošanu, svarīgo grupu nes atvasinātais piedāvājums.

Atjaunošanas izslēgšana nav labojums

Atslēgas atjaunošanas laika iestatīšana uz nulli nomāc apmaiņu, kas neizdodas, un tunelis pēc tam dzīvo, līdz to izjauc vai puse pārstartējas. Tas, ko nopirkāt, ir ilgāk dzīvojoša atslēga un neatbilstība, kas jums atkal pretīsies migrācijas, audita vai piegādātāja atjauninājuma laikā. Tas pats attiecas uz termiņiem, kas izstiepti tālu pāri politikai, ko gaida otra puse.

Tā vietā saskaņojiet piedāvājumus. Izvēlieties grupu, ko īsteno abas puses, ievietojiet to atvasinātajā piedāvājumā abos galos un turiet atjaunošanas politiku diapazonā, ko organizācija patiešām pieprasa.

Pierādiet to ar apmaiņu, kas neizdevās

Tehniskās apkalpošanas logā saīsiniet atvasinātās atslēgas atjaunošanas laiku, lai notikums pienāktu minūtēs, nevis stundās, vai palaidiet manuālu atvasinātās atslēgas atjaunošanu. Pēc tam vērojiet veiksmīgu atjaunošanu un apstipriniet, ka satiksme turpinās caur to, jo jauna rokasspiediena procedūra, kas instalē atvasināto asociāciju, bet nomet lietojumprogrammas plūsmu ir cits defekts.

Pēc tam atjaunojiet parasto termiņu un saglabājiet abus notikumu ierakstus, neizdevušos un veiksmīgo. Pierādījums, ko vēlaties, ir tas, ka savienojums pārdzīvo savu dzīves ciklu, nevis tas, ka tas pārdzīvoja ping.