IKE SA е воспоставен, CHILD SA недостасува: каде запираат податоците

Клиентот вели дека автентикацијата успеала, IKE статусот изгледа здраво, а бројачите на пакети остануваат на нула. Оваа комбинација не е противречност: IKEv2 ги држи контролната врска и врската за податоци одвоени, и првата може да успее, додека втората никогаш не се подигне. Родителот води преговори; детето го носи сообраќајот. Прочитајте ги двата слоја одделно пред тунелот да го наречете неисправен.

Што прават двете SA

IKE SA е контролната врска: ги автентицира страните и ги носи размените што преговараат, заменуваат и отстрануваат заштита. Таа никогаш не ги носи пакетите на вашата апликација. Затоа здравиот родител докажува само дека двата краја можат да се договорат за безбедносната политика, и ништо повеќе.

CHILD SA е врската за податоци, создадена под родителот, со селектори на сообраќај и клучен материјал за едно заштитено множество. Таа е насочена, па статусниот излез наведува влезна и излезна асоцијација со одделни идентификатори и обично одделни бројачи за секој правец. Овој пар е причината зошто едниот правец може да работи, а другиот да падне, и зошто фразата тунелот е подигнат не кажува ништо за сообраќајот. Еден родител може да држи и повеќе деца, и така една ознака за врска го крие она што ви треба.

Читајте ги записите за детето, не ознаката за врска

Отворете ги статусот на родителот и списокот на деца заедно и пронајдете го детето чии селектори одговараат на текот што го проверувате. Забележете ги неговите селектори на сообраќај, договорените алгоритми, неговиот животен век и бројачите во двата правци. Ако има повеќе деца, споредете по селектори, а не по позиција, бидејќи позицијата се менува по обновување на клучот. Запишете ги идентификаторите пред да промените нешто.

Ако родителот наведе друго множество сообраќај од она што го проверувате, читате погрешно дете. Тоа е проблем со селекторите, а не расипан тунел.

Запишете и временски ознаки. Обновувањето на клучот може да замени еден слој додека другиот останува воспоставен, а дете што изгледа ново може да е замена за она што го набљудувавте. Споредете ги идентификаторите пред да заклучите дека детето исчезнало.

Кога воопшто нема дете

Автентикацијата може да успее додека предлогот за податоци или селекторите откажуваат, и родителот останува сосема без дете. Обичната причина е несовпаѓање на алгоритми или несовпаѓање на селекторите на сообраќај, и двата партнера го запишуваат одбиениот предлог. Читајте ги двата краја, бидејќи страната што ја достигнувате може да го покажува само одбивањето. Поправете го несовпаѓањето наместо да го рестартирате родителот, бидејќи тоа ги повторува истите неуспешни преговори и додава нов прекин на доказите.

Родител што постојано се воспоставува одново е друг дефект од родител што сѐ уште останува подигнат без дете. Во вториот случај дневниците го именуваат одбиениот предлог, па соберете го тој предлог од двата краја пред да уредите политика.

Кога детето постои, но бројачите остануваат на нула

Испратете ново барање што одговара на селекторите на детето. Барање до одредиште надвор од таа политика нема да ги помести неговите бројачи, колку и успешно да изгледа.

Проверете ја рутата што треба да го турне текот во тунелот, бидејќи дете без сообраќај често е дете кон кое ништо не е насочено. Бројачи што се движат само во еден правец укажуваат на несовпаѓање на селектори или политика на повратниот пат. Погледнете ги повратните селектори на оддалечениот партнер пред да ја допрете локалната страна. Новото барање ви дава и временска ознака за споредба со статусниот излез на двата краја.

Именувајте го слојот во извештајот

Пријавете го дефектот како три полиња, а не како пресуда: слојот што откажа, размената или детето што го проверивте и доказот што го имате. Слојот е еден од три: родителот никогаш не се воспоставил, преговорите за детето биле одбиени или дете постои и сообраќајот не го достигнува. Доказот е идентификаторот на детето со неговите селектори и бројачи или одбиениот предлог цитиран од двата дневника. Секој што го чита тоа може да отиде директно до размената што е важна и да не прашува за кој VPN мислите.

strongSwan IKEv2 документација покажува како тие слоеви се појавуваат во статусниот излез. Приложете го излезот за детето што го тестиравте, а не само резимето на родителот.