Вашиот IKEv2 SA е кренат, но нема дете SA: прочитајте ја размената

IKE вели дека тунелот е кренат, дете SA недостига, и двете тврдења можат да бидат точни истовремено. Воспоставената контролна врска не е податочна асоцијација, и двата објекти имаат одделни животни векови, преговори и режими на откажување. Пријавувањето на првото како поврзаност е патот на кој тикетот на крајот тврди дека тунелот е кренат, а ништо не работи. Читајте ја листата на асоцијации, а не резимето на врската, зашто таа листа е единственото место каде што се гледа објектот што недостига. Следи редоследот во кој листата добива смисла.

Две асоцијации, две задачи

IKE SA го носи контролниот канал: идентитети, клучеви и предлозите за самата контролна размена. Дете SA ја носи ESP заштитата, со свои алгоритми и свои селектори на сообраќај. Автентикацијата и создавањето на дете SA обично одат заедно, зашто првото дете SA се преговара внатре во IKE_AUTH, и токму тоа спарување ги изненадува луѓето со одвојувањето.

То ги објаснува и двете форми на откажување што ќе ги сретнете. Дете SA одбиено за време на почетната размена обично го повлекува и IKE SA надолу, така што воопшто не гледате воспоставен контролен канал. IKE SA што стои сам почесто значи дека првото дете SA успеало, а подоцнежниот обид да се создаде дете SA не успеал, на пример при обновување на клучеви. Временските ознаки ги делат тие случаи побрзо од каков било преглед на конфигурацијата.

Кој слој одби

Кога дете SA се одбива, известувањето го именува слојот. Одбивањето на предлогот значи дека страните не можеле да се договорат за алгоритми, често зашто едната бара друга група за совршена напредна тајност или шифра што другата нема да ја прифати. Одбивањето на селекторот значи дека множеството сообраќај е одбиено директно, и тоа е аргумент за покриеност, не криптографски.

Понекогаш отсуството на дете SA е самиот дизајн. IKE SA без дете SA е дефинирано проширување што се користи таму каде што податочната асоцијација треба да се создава по барање, па отсуството е точно, а дете SA се појавува кога ќе пристигне соодветен сообраќај. Белешките на strongSwan за IKEv2 ги покриваат и стилот по барање и поставките на предлогот што го решаваат првиот случај.

Пред да дијагностицирате дефект, проверете дали има конфигурација по барање или стапица. Ако дете SA сѐ уште се создаваат мрзливо, отсуството на дете SA во мирување е очекуваната состојба, и вистинскиот тест е дали сообраќајот крева едно. Тој тест го одделува и мрзливиот дизајн од тивкото откажување, зашто неуспешното создавање го остава тригерот без одговор, а не само во мирување.

Потоа прашајте за патеката на податоците

Откако ќе постои дете SA, бројачите одговараат на следното прашање. ip -s xfrm state известува за бројот на пакети и бајти по асоцијација, и дете SA што не носи ништо додека создавате сообраќај упатува на совпаѓање или рутирање, а не кон асоцијација што недостига. swanctl --list-sas ги печати селекторите на дете SA покрај тие бројачи, и токму тоа потврдува дека пакетот стои во прифатеното множество.

Во извештајот одделно држете ја успешната автентикација и неуспешната размена на дете SA. Извештај што вели дека автентикацијата не успеала го праќа следниот инженер во складиштето за сертификати, а точната реченица е многу пократка: IKE SA се крена, а дете SA за овој тек никогаш не беше прифатено.

Поврзете ги двата краја

За сервер што сами го водите, земете ги дневниците на клиентот и портата за истата размена, наместо да споредувате два обиди за поврзување со еден час разлика. Известувањата треба да се совпаѓаат на двете страни, а таму каде што не се совпаѓаат, ја најдовте погрешно конфигурираната страна.

Поправете го преговорот за дете SA, потоа тестирајте повторно со сообраќај внатре во предвидениот селектор. Тоа е единствениот тест што докажува дека објектот што недостига сега е присутен, зашто листа на асоцијации освежена во мирување може да изгледа исто пред и по поправката.