IKEv2 ഒരു ഹാൻഡ്ഷേക്ക് മാത്രമല്ല: ആദ്യം IKE SA, പിന്നെ ഓതന്റിക്കേഷൻ, പിന്നെ CHILD SA

IKEv2 കണക്ഷൻ ട്രാഫിക് എൻക്രിപ്റ്റ് ചെയ്ത് അവസാനിക്കുന്ന ഒരൊറ്റ കൈമാറ്റമാണെന്ന് നിങ്ങൾ കരുതിയേക്കാം. യഥാർത്ഥത്തിൽ കുറഞ്ഞത് രണ്ടെണ്ണം ഉണ്ട്, ആദ്യത്തേത് ആരെയും ഓതന്റിക്കേറ്റ് ചെയ്യുന്നില്ല. ഇരു കക്ഷികളും നിയന്ത്രണ സന്ദേശങ്ങളിൽ തുടങ്ങി, ക്രിപ്റ്റോഗ്രാഫിക് പാരാമീറ്ററുകളിൽ യോജിച്ച്, ഐഡന്റിറ്റി തെളിയിച്ച്, പിന്നീട് മാത്രം ആപ്ലിക്കേഷൻ പാക്കറ്റുകൾ കൊണ്ടുപോകുന്ന അവസ്ഥ ചർച്ച ചെയ്യുന്നു. ഈ ക്രമമാണ് ആളുകൾ പതിവായി റിപ്പോർട്ട് ചെയ്യുന്ന പൊരുത്തക്കേട് വിശദീകരിക്കുന്നത്: ഗേറ്റ്വേ മറുപടി നൽകുന്നു, ക്ലയന്റ് കണക്ട് ചെയ്തതായി പറയുന്നു, എന്നിട്ടും സ്വകാര്യ ആപ്ലിക്കേഷൻ സമയപരിധി കവിയുന്നു. ഓരോ ഘട്ടവും യഥാർത്ഥത്തിൽ എന്ത് ചെയ്യുന്നു, അതിന് ശേഷം എന്ത് ശരിയായിരിക്കണം എന്നത് ഇവിടെയുണ്ട്.

കെട്ടുകഥ: ഗേറ്റ്വേ മറുപടി നൽകിയാൽ നിങ്ങൾ കണക്ട് ചെയ്തു

ആദ്യ സന്ദേശത്തിനുള്ള മറുപടി അന്തിമ ബിന്ദു എത്തിച്ചേരാവുന്നതും സംസാരിക്കാൻ തയ്യാറുമാണെന്ന് തെളിയിക്കുന്നു. അക്കൗണ്ട് സ്വീകരിച്ചു, സർട്ടിഫിക്കറ്റ് ശൃംഖല സാധുതയുള്ളതാക്കി, അല്ലെങ്കിൽ ഏതെങ്കിലും ഡാറ്റാ നയം ഇൻസ്റ്റാൾ ചെയ്തു എന്ന് അത് തെളിയിക്കുന്നില്ല.

ആ പരാജയങ്ങൾ പിന്നീട് സംഭവിക്കുന്നു, വ്യത്യസ്ത ലക്ഷണങ്ങൾ നൽകുന്നു. സർട്ടിഫിക്കറ്റ് നിരസിക്കൽ അല്ലെങ്കിൽ EAP പരാജയം ആദ്യ കൈമാറ്റം ഇതിനകം വിജയിച്ചതിന് ശേഷമാണ് വരുന്നത്, അതുകൊണ്ടാണ് UDP 500 ലേക്കുള്ള ping ഉം ക്ലയന്റിന്റെ പച്ച ഐക്കണും വളരെ കുറച്ച് മാത്രം പറയുന്നത്.

IKE_SA_INIT: ഐഡന്റിറ്റിയല്ല, പാരാമീറ്ററുകളിൽ യോജിക്കുക

ആദ്യ കൈമാറ്റം IKE സുരക്ഷാ അസോസിയേഷനുള്ള നിർദ്ദേശങ്ങൾ കൊണ്ടുപോകുന്നു: എൻക്രിപ്ഷൻ, അഖണ്ഡതാ അൽഗോരിതങ്ങൾ, സ്യൂഡോ റാൻഡം ഫംഗ്ഷൻ, Diffie-Hellman ഗ്രൂപ്പ്. കക്ഷികൾ nonce മൂല്യങ്ങളും കൈമാറുന്നു, ഓരോ വശവും ആ മൂല്യങ്ങൾ സൃഷ്ടിക്കുന്ന പങ്കിട്ട രഹസ്യത്തിൽ നിന്ന് IKE SA യുടെ കീ വസ്തു കണ്ടെത്തുന്നു. ഈ കൈമാറ്റത്തിൽ ഒന്നും മറുവശം ആരാണെന്ന് സ്ഥാപിക്കുന്നില്ല. ഇരു വശങ്ങൾക്കും ഒരേ കീകൾ കണക്കാക്കാൻ കഴിയും, ഒരു നിർദ്ദേശത്തിൽ യോജിക്കുന്നു എന്ന് മാത്രം സ്ഥാപിക്കുന്നു. ഏത് നിർദ്ദേശവും ഇഷ്ടപ്പെടാത്ത പ്രതികരിക്കുന്നയാൾ ഇവിടെ കൈമാറ്റം നിരസിക്കുന്നു, അതുകൊണ്ടാണ് പതിപ്പോ അൽഗോരിതമോ പൊരുത്തക്കേട് സർവർ ഓഫ് ആയതുപോലെ തോന്നുന്നത്.

ഈ ഘട്ടത്തിൽ സൃഷ്ടിച്ച IKE SA തുടർന്നുള്ള എല്ലാ മാനേജ്മെന്റ് കൈമാറ്റങ്ങളെയും സംരക്ഷിക്കുന്നു. അതാണ് അതിന്റെ ജോലി, നിങ്ങളുടെ പാക്കറ്റുകൾ സംരക്ഷിക്കുന്നതിൽ നിന്ന് വ്യത്യസ്തമായ ജോലി.

IKE_AUTH: ഐഡന്റിറ്റി തെളിയിച്ച് ആദ്യ CHILD SA നിർമ്മിക്കുക

രണ്ടാമത്തെ കൈമാറ്റം ഐഡന്റിറ്റി കൊണ്ടുപോകുന്നു. സർട്ടിഫിക്കറ്റുകളിൽ, ഓരോ കക്ഷിയും സ്വന്തം സ്വകാര്യ കീ ഉപയോഗിച്ച് ഒപ്പിട്ട്, മറുവശം സാധൂകരിക്കേണ്ട ശൃംഖല അവതരിപ്പിക്കുന്നു; EAP ഉപയോഗിച്ചാൽ, തിരഞ്ഞെടുത്ത രീതിയിലൂടെ പ്രതികരിക്കുന്നയാൾ ആരംഭിക്കുന്നയാളെ വെല്ലുവിളിക്കുന്നു. തെറ്റായ സർവർ നാമം, കാലഹരണപ്പെട്ട സർട്ടിഫിക്കറ്റ്, നിരസിച്ച പാസ്വേഡ് എന്നിവ ഒടുവിൽ ഇവിടെ പ്രത്യക്ഷപ്പെടുന്നു.

സാധാരണ സാഹചര്യത്തിൽ IKE_AUTH ആദ്യ CHILD SA യും ചർച്ച ചെയ്യുന്നു, അതിനാൽ ഡാറ്റാ സംരക്ഷണം അതേ യാത്രയിൽ തന്നെ യോജിക്കുന്നു. ആരംഭിക്കുന്നയാൾ ട്രാഫിക് സെലക്ടറുകൾ നിർദ്ദേശിക്കുന്നു, പ്രതികരിക്കുന്നയാൾ അവ ചുരുക്കുകയോ നിരസിക്കുകയോ ചെയ്യുന്നു, ഡാറ്റാ പാതയുടെ കീകൾ IKE SA യിൽ നിന്ന് കണ്ടെത്തുന്നു. അതായത് ഒരു കൈമാറ്റം രണ്ട് വളരെ വ്യത്യസ്ത സ്ഥലങ്ങളിൽ പരാജയപ്പെടാം: ഐഡന്റിറ്റി അല്ലെങ്കിൽ നയം. പൊതുവായ ഹാൻഡ്ഷേക്ക് പരാജയത്തിന് പകരം അറിയിപ്പ് പേലോഡോ പിശകോ വായിക്കുക, കാരണം ഒന്നിന് പരിഹാരം സർട്ടിഫിക്കറ്റ്, മറ്റൊന്നിന് സബ്നെറ്റ് പൊരുത്തക്കേട്.

രണ്ട് SA, രണ്ട് ജോലി

അവ പ്രത്യേകമായി നിർത്തുന്നത് ബഗുകൾ പോലെ തോന്നുന്ന രണ്ട് സ്വഭാവങ്ങളെ വിശദീകരിക്കുന്നു. ടണൽ സ്ഥാപിതമായി കാണിക്കാം, അതേസമയം പശ്ചാത്തലത്തിൽ കീ പുനഃസൃഷ്ടി പരാജയപ്പെടുന്നു, കൂടാതെ ക്ലയന്റ് കണക്ഷൻ നഷ്ടപ്പെടുത്താതെ CHILD SA മാറ്റാനും കഴിയും.

strongSwan ൽ, IKEv2 കോൺഫിഗറേഷൻ റഫറൻസും swanctl --list-sas രണ്ട് തലങ്ങളും കാണിക്കുന്നു, ip xfrm state ഒപ്പം ip xfrm policy കേർണൽ യഥാർത്ഥത്തിൽ എന്ത് ഇൻസ്റ്റാൾ ചെയ്തു എന്ന് കാണിക്കുന്നു. ഈ രണ്ട് കാഴ്ചകൾ താരതമ്യം ചെയ്യുകയാണ് ചർച്ച അവസാനിച്ചോ അതോ അവസാനിച്ചതായി തോന്നിയോ എന്ന് അറിയാനുള്ള വേഗതയേറിയ വഴി. കേർണലിൽ അവസ്ഥയില്ലാത്ത CHILD SA ഡീമൺ ലിസ്റ്റ് ചെയ്താൽ, ഇൻസ്റ്റാളേഷൻ നിശബ്ദമായി പരാജയപ്പെട്ടു. ഡീമണിന് അറിയാത്ത അവസ്ഥ കേർണലിൽ ഉണ്ടെങ്കിൽ, മുൻ ശ്രമത്തിന്റെ അവശിഷ്ടമാണ് നിങ്ങൾ കാണുന്നത്.

ടണൽ ഉയർന്നതിന് ശേഷവും എന്ത് ശരിയായിരിക്കണം

ട്രാഫിക് സെലക്ടറുകൾ ഏത് വിലാസങ്ങൾ ഉൾക്കൊള്ളുന്നു എന്ന് നിർവചിക്കുന്നു. ക്ലയന്റ് ഒരു സബ്നെറ്റ് നിർദ്ദേശിക്കുകയും സർവർ മറ്റൊന്ന് പ്രതീക്ഷിക്കുകയും ചെയ്താൽ, CHILD SA ഇൻസ്റ്റാൾ ചെയ്യുന്നു, പക്ഷേ ഉപയോഗപ്രദമായ ഒന്നും കൊണ്ടുപോകുന്നില്ല, പിശക് ചർച്ചയുടെ പ്രശ്നമല്ല, റൂട്ടിംഗ് പ്രശ്നമായി പ്രത്യക്ഷപ്പെടുന്നു. തുടർന്ന് പ്രാദേശിക സ്റ്റാക്ക് സഹകരിക്കണം: ഹോസ്റ്റ് റൂട്ട് ചെയ്യുന്നിടത്ത് ഫോർവേഡിംഗ് പ്രവർത്തനക്ഷമം, ടണലിലേക്കുള്ള റൂട്ടുകൾ, ഡീകാപ്സുലേറ്റ് ചെയ്ത പാക്കറ്റുകൾ അനുവദിക്കുന്ന ഫയർവാൾ നിയമങ്ങൾ, സ്വകാര്യ നാമങ്ങൾ ഉൾപ്പെട്ടാൽ ആന്തരിക റിസോൾവർ. ഇവയോരോന്നും വെവ്വേറെ പരാജയപ്പെടുന്നു, IKE ഡീമൺ റീസ്റ്റാർട്ട് ചെയ്ത് ഒന്നും ശരിയാകുന്നില്ല.

രോഗനിർണയം ചെയ്യുമ്പോൾ ലോഗ് കാണത്തക്കവിധം സൂക്ഷിക്കുക: പ്രാരംഭ കൈമാറ്റം, പിന്നെ ഐഡന്റിറ്റി സാധൂകരണം, ബാധകമായിടത്ത് ഉപയോക്തൃ ഓതന്റിക്കേഷൻ, പിന്നെ CHILD ഇൻസ്റ്റാളേഷൻ, അവസാനം ആപ്ലിക്കേഷൻ ട്രാഫിക്. നിൽക്കുന്ന ഘട്ടമാണ് ശരിയാക്കേണ്ടത്, കൂടാതെ പിന്നീടുള്ള റൂട്ടിംഗ് പരാജയം കടന്നുപോയ ഐഡന്റിറ്റി പരിശോധനകൾ അയച്ചുവിടാനുള്ള കാരണമല്ല.