IKE SA тогтсон, CHILD SA байхгүй: өгөгдөл хаана зогсдог

Клиент баталгаажуулалт амжилттай болсон гэж хэлж, IKE төлөв эрүүл харагдаж, харин пакетын тоолуурууд тэг дээрээ үлддэг. Энэ хослол зөрчил биш: IKEv2 удирдлагын харилцаа болон өгөгдлийн харилцааг тусдаа барина, эхнийх нь амжилттай болж, хоёр дахь нь хэзээ ч илрэхгүй байж болно. Эх SA хэлэлцээрийг удирдана; хүү SA урсгалыг зөөнө. Туннелийг эвдэрсэн гэж нэрлэхээс өмнө хоёр давхаргыг тусдаа уншаарай.

Хоёр SA юу хийдэг

IKE SA бол удирдлагын харилцаа: тэр талуудыг баталгаажуулж, хамгаалалтыг хэлэлцэх, солих, устгах солилцоог зөөнө. Тэр таны програмын пакетыг хэзээ ч зөөдөггүй. Тиймээс эрүүл эх SA нь хоёр төгсгөл аюулгүй байдлын бодлого дээр санал нийлж чадна гэдгийг л батална, үүнээс өөр юу ч биш.

CHILD SA бол өгөгдлийн харилцаа бөгөөд эх SA-гийн доор үүсдэг, нэг хамгаалагдсан багцад зориулсан урсгалын селектор, түлхүүрийн материалтай. Энэ нь чиглэлтэй тул төлвийн гаралт нь орж буй, гарч буй холбоог тусдаа танигчаар, ихэвчлэн чиглэл бүрт тусдаа тоолууртайгаар жагсаана. Энэ хослол нь нэг чиглэл ажиллаж, нөгөө нь унах шалтгаан, мөн туннель боссон гэсэн хэллэг урсгалын талаар юу ч хэлэхгүйн шалтгаан юм. Нэг эх SA хэд хэдэн хүүг агуулж болох бөгөөд ингэснээр нэг холболтын шошго танд хэрэгтэйг нуудаг.

Холболтын шошгыг биш, хүү бичлэгүүдийг уншаарай

Эх SA-гийн төлөв болон хүүгийн жагсаалтыг хамт онгойлгож, селекторууд нь таны шалгаж буй урсгалтай тохирох хүүг олоорой. Түүний урсгалын селектор, хэлэлцсэн алгоритм, амьдрах хугацаа, хоёр чиглэлийн тоолуурыг тэмдэглээрэй. Хэд хэдэн хүү байвал байрлалаар бус селектороор тулгаарай, учир нь түлхүүр шинэчлэгдсэний дараа байрлал өөрчлөгддөг. Ямар нэгэн зүйл өөрчлөхөөс өмнө танигчуудыг бичиж аваарай.

Хэрэв эх SA таны шалгаж буйгаас өөр урсгалын багц жагсаавал та буруу хүүг уншиж байна. Энэ нь селекторын асуудал, эвдэрсэн туннель биш.

Цагийн тэмдэглэгээг мөн бүртгээрэй. Түлхүүр шинэчлэлт нэг давхаргыг сольж, нөгөө нь тогтсон хэвээр үлдэж болох бөгөөд шинэ мэт харагдах хүү нь таны ажиглаж байсан хүүгийн орлуулагч байж болно. Хүү алга болсон гэж дүгнэхээс өмнө танигчуудыг харьцуулаарай.

Хүү огт байхгүй үед

Өгөгдлийн санал эсвэл селекторууд бүтэлгүйтэх үед ч баталгаажуулалт амжилттай байж болох бөгөөд эх SA огт хүүгүй үлддэг. Ердийн шалтгаан нь алгоритмын зөрүү эсвэл урсгалын селекторын зөрүү бөгөөд хоёр тал татгалзсан саналыг бүртгэдэг. Хоёр төгсгөлийг уншаарай, учир нь таны хүрч чадах тал зөвхөн татгалзлыг харуулж болно. Зөрүүг засаарай, эх SA-г дахин асааж болохгүй, учир нь тэр ижил бүтэлгүй хэлэлцээрийг давтаж, нотолгоонд дахин нэг тасалдал нэмнэ.

Байнга дахин тогтдог эх SA нь хүүгүйгээр дээгүүр үлддэг эх SA-гаас өөр гэмтэл юм. Хоёр дахь тохиолдолд логууд татгалзсан саналыг нэрлэдэг тул бодлогыг засахаас өмнө тэр саналыг хоёр төгсгөлөөс цуглуулаарай.

Хүү байгаа ч тоолуурууд тэг дээр үлдэх үед

Хүүгийн селекторуудад тохирох шинэ хүсэлт илгээгээрэй. Тэр бодлогын гаднах хаяг руу хийсэн хүсэлт хичнээн амжилттай харагдавч тоолуурыг хөдөлгөхгүй.

Урсгалыг туннель руу түлхэх ёстой маршрутыг шалгаарай, учир нь урсгалгүй хүү нь ихэвчлэн юу ч чиглүүлээгүй хүү байдаг. Зөвхөн нэг чиглэлд хөдөлдөг тоолуур нь буцах замд селектор эсвэл бодлогын зөрүүг заана. Орон нутгийн талыг хөндөхөөс өмнө алсын талын буцах селекторуудыг хараарай. Шинэ хүсэлт нь хоёр төгсгөлийн төлвийн гаралттай тулгах цагийн тэмдэглэгээг ч өгнө.

Тайланд давхаргыг нэрлээрэй

Гэмтлийг шийтгэл биш, гурван талбар болгон мэдээлээрэй: бүтэлгүйтсэн давхарга, таны шалгасан солилцоо эсвэл хүү, таны гарт байгаа нотолгоо. Давхарга нь гурвын нэг: эх SA хэзээ ч тогтоогүй, хүүгийн хэлэлцээр татгалзагдсан, эсвэл хүү байгаа бөгөөд урсгал түүнд хүрэхгүй байна. Нотолгоо нь селектор, тоолууртай хүүгийн танигч, эсвэл хоёр логоос иш татсан татгалзсан санал юм. Үүнийг уншсан хүн аль VPN гэж асуулгүйгээр чухал солилцоо руу шууд явж чадна.

strongSwan IKEv2 баримт бичиг эдгээр давхаргууд төлвийн гаралтад хэрхэн харагдахыг харуулдаг. Зөвхөн эх SA-гийн хураангуйг бус, таны шалгасан хүүгийн гаралтыг хавсаргаарай.