IKEv2 нэг гар барилт биш: IKE SA, баталгаажуулалт, дараа нь CHILD SA
Гарцын хариулт нь хүртээмжийг батална, танихыг биш. IKE_SA_INIT, IKE_AUTH болон эхний CHILD SA-г дагаж, трафик гарахаас өмнө юу үнэн байх ёстойг шалгана уу.
IKEv2 холболт бол трафик шифрлэгдэж дуусах нэг солилцоо гэж та бодож магадгүй. Үнэндээ дор хаяж хоёр байдаг бөгөөд эхнийх нь хэнийг ч баталгаажуулдаггүй. Талууд хяналтын мессежээр эхэлж, криптограф параметрүүдээр тохиролцож, танихыг нотолж, дараа нь л аппликейшны пакетыг зөөдөг төлөвийг хэлэлцдэг. Энэ дараалал нь хүмүүсийн байнга мэдээлдэг зөрүүг тайлбарладаг: гарц хариулдаг, клиент холбогдсон гэж харуулдаг, гэвч хувийн аппликейшн хугацаа хэтэрсээр байдаг. Үе шат бүр үнэндээ юу хийдэг, дараа нь юу үнэн байх ёстойг энд тайлбарлав.
Домог: гарц хариулбал та холбогдсон байна
Эхний мессежид өгсөн хариулт нь төгсгөлийн цэг хүртээмжтэй, ярихад бэлэн гэдгийг нотолдог. Бүртгэл хүлээн авсан, гэрчилгээний гинжин хэлхээ баталгаажсан, эсвэл ямар нэг өгөгдлийн бодлого суулгасан гэдгийг нотолдоггүй.
Тэдгээр алдаа дараа гарч, өөр шинж тэмдэг өгдөг. Гэрчилгээний татгалзал эсвэл EAP алдаа эхний солилцоо аль хэдийн амжилттай болсны дараа ирдэг тул UDP 500 руу ping хийх, клиентийн ногоон дүрс маш бага зүйл хэлдэг.
IKE_SA_INIT: параметрээр тохиролц, танихээр биш
Эхний солилцоо нь IKE аюулгүй байдлын холбооны саналыг зөөдөг: шифрлэлт ба бүрэн бүтэн байдлын алгоритм, псевдо санамсаргүй функц, Diffie-Hellman бүлэг. Талууд nonce утгыг ч солилцдог бөгөөд тал бүр тэдгээр утгаас үүсэх хуваалцсан нууцаас IKE SA-ийн түлхүүрийн материалыг гаргадаг. Энэ солилцоонд нөгөө тал хэн болохыг тогтоох зүйл байхгүй. Хоёр тал ижил түлхүүр тооцоолж чадах, нэг саналд тохирсныг л тогтоодог. Аль ч санал таалагдаагүй хариулагч энд солилцоог татгалздаг тул хувилбар эсвэл алгоритмын зөрүү сервер унтарсан мэт харагддаг.
Энэ үед үүссэн IKE SA нь дараагийн бүх удирдлагын солилцоог хамгаална. Энэ бол түүний ажил бөгөөд таны пакетыг хамгаалахаас өөр ажил.
IKE_AUTH: танихыг нотлоод эхний CHILD SA-г бүтээ
Хоёр дахь солилцоо танихыг зөөдөг. Гэрчилгээтэй үед тал бүр өөрийн хувийн түлхүүрээр гарын үсэг зурж, нөгөө тал баталгаажуулах ёстой гинжийг үзүүлдэг; EAP-тай үед хариулагч сонгосон аргаар эхлүүлэгчид сорилт тавьдаг. Буруу серверийн нэр, хугацаа дууссан гэрчилгээ, татгалзсан нууц үг эцэст нь энд илэрдэг.
Ердийн тохиолдолд IKE_AUTH эхний CHILD SA-г ч хэлэлцдэг тул өгөгдлийн хамгаалалт нэг л очих-буцах замд тохиролцдог. Эхлүүлэгч трафикийн сонгогчдыг санал болгож, хариулагч тэдгээрийг нарийсгах эсвэл татгалздаг, өгөгдлийн замын түлхүүрүүд IKE SA-аас гардаг. Энэ нь нэг солилцоо хоёр огт өөр газарт бүтэлгүйтэж болно гэсэн үг: таних эсвэл бодлого. Ерөнхий гар барилтын алдааны оронд мэдэгдлийн ачаа эсвэл алдааг уншина уу, учир нь нэгнийх нь шийдэл гэрчилгээ, нөгөөгийнх нь дэд сүлжээний зөрүү.
Хоёр SA, хоёр ажил
| Холбоо | Хамгаалдаг | Амьдрах хугацааны зан төлөв |
|---|---|---|
| IKE SA | Удирдлагын солилцоо: түлхүүр шинэчлэх, устгах, тохиргооны ачаа | Өөрийн хуваариар шинэчлэгддэг; өгөгдлийн зам өөрчлөлтийг даван туулж чадна |
| CHILD SA | Трафикийн сонгогчдод тохирох аппликейшны трафик | Бие даан шинэчлэгддэг, ихэвчлэн илүү олон удаа |
Тэднийг тусдаа байлгах нь алдаа мэт харагдах хоёр зан төлөвийг тайлбарладаг. Туннель тогтоогдсон мэт харагдахын зэрэгцээ ард түлхүүр шинэчлэлт бүтэлгүйтэж болох бөгөөд клиент холболтоо алдалгүйгээр CHILD SA солигдож болно.
strongSwan дээр IKEv2 тохиргооны лавлагаа болон swanctl --list-sas хоёр түвшинг үзүүлдэг, харин ip xfrm state -тай хамт ip xfrm policy цөм үнэндээ юу суулгасныг үзүүлдэг. Эдгээр хоёр харагдацыг харьцуулах нь хэлэлцээр дууссан уу, эсвэл дууссан мэт харагдсан уу гэдгийг мэдэх хамгийн хурдан арга юм. Хэрэв демон цөмд төлөвгүй CHILD SA-г жагсаавал суулгалт чимээгүйхэн бүтэлгүйтсэн. Хэрэв цөм демонд мэдэгдэхгүй төлөв хадгалж байвал та өмнөх оролдлогын үлдэгдлийг харж байна.
Туннель боссны дараа ч юу үнэн байх ёстой вэ
Трафикийн сонгогчид аль хаяг хамрагдахыг тодорхойлдог. Хэрэв клиент нэг дэд сүлжээ санал болгож, сервер өөр дэд сүлжээ хүлээж байвал CHILD SA суулгагдана, гэхдээ ашигтай зүйл зөөхгүй, алдаа нь хэлэлцээрийн бус, чиглүүлэлтийн асуудал болж харагдана. Дараа нь локал стек хамтран ажиллах ёстой: хост чиглүүлдэг газарт дамжуулалт идэвхтэй, туннель рүү чиглэсэн маршрут, задалсан пакетыг зөвшөөрөх галт ханын дүрэм, хувийн нэр оролцвол дотоод шийдэгч. Эдгээр нь тус бүрдээ бүтэлгүйтдэг бөгөөд аль нь ч IKE демоныг дахин эхлүүлэхэд засагдахгүй.
Оношилгоо хийх үед логыг харагдахуйц байлгаарай: эхний солилцоо, дараа нь танихыг баталгаажуулах, дараа нь хамаарах газарт хэрэглэгчийн баталгаажуулалт, дараа нь CHILD суулгалт, эцэст нь аппликейшны трафик. Зогсдог үе шат нь засах ёстой үе шат бөгөөд дараа гарсан чиглүүлэлтийн алдаа нь аль хэдийн давсан таних шалгалтыг сулруулах шалтгаан хэзээ ч болохгүй.