Таны IKEv2 SA ажиллаж байна, гэвч хүү SA байхгүй: солилцоог уншина уу

IKE туннель ажиллаж байна, хүү SA байхгүй гэж хэлдэг бөгөөд хоёр мэдэгдэл нэгэн зэрэг үнэн байж болно. Тогтоосон удирдлагын харилцаа нь өгөгдлийн холбоо биш бөгөөд хоёр объектын нас, хэлэлцээр, бүтэлгүйтлийн горим тусдаа. Эхнийхийг холболт гэж мэдээлэх нь тасалбарыг эцэст нь туннель ажиллаж байна, гэвч юу ч ажиллахгүй байна гэж мэдэгдэх зам юм. Холболтын хураангуй шошгыг биш, холбоодын жагсаалтыг уншина уу, учир нь тэр жагсаалт л дутуу объектыг харуулдаг цорын ганц газар. Дараах нь жагсаалт утга учиртай болох дараалал юм.

Хоёр холбоо, хоёр ажил

IKE SA удирдлагын сувгийг зөөнө: таних мэдээлэл, түлхүүр, удирдлагын солилцооны өөрийн саналууд. Хүү SA нь ESP хамгаалалтыг өөрийн алгоритм, өөрийн траффик сонгогчтойгоо зөөнө. Нэвтрүүлэлт болон хүү SA үүсгэх нь ихэвчлэн хамт явдаг, учир нь эхний хүү SA IKE_AUTH дотор хэлэлцэгддэг бөгөөд яг энэ холболт хүмүүсийг энэ салалтаар гайхшруулдаг.

Энэ нь таны таарах бүтэлгүйтлийн хоёр хэлбэрийг ч тайлбарлана. Эхний солилцооны үед татгалзсан хүү SA ихэвчлэн IKE SA-г хамт унагадаг тул тогтоосон удирдлагын суваг огт харагдахгүй. Ганцаараа зогссон IKE SA нь ихэвчлэн эхний хүү SA амжилттай болсон, харин дараагийн хүү SA үүсгэх оролдлого бүтэлгүйтсэнийг илэрхийлдэг, жишээ нь түлхүүр шинэчлэх үед. Цагийн тэмдэглэгээ тэдгээр тохиолдлыг аливаа тохиргооны хяналтаас хурдан ялгадаг.

Аль давхарга татгалзсан

Хүү SA татгалзахад мэдэгдэл давхаргыг нэрлэнэ. Саналын татгалзал нь талууд алгоритм дээр санал нийлж чадаагүйг илэрхийлдэг, ихэвчлэн нэг тал өөр төгс урагш нууцлалын бүлэг эсвэл нөгөө тал хүлээж авахгүй шифрийг шаарддаг. Сонгогчийн татгалзал нь траффикийн багц шууд татгалзагдсаныг илэрхийлдэг бөгөөд энэ нь хамрах хүрээний үндэслэл, криптографийн биш.

Заримдаа хүү SA байхгүй байх нь өөрөө загвар. Хүү SAгүй IKE SA нь өгөгдлийн холбоог шаардлагаар үүсгэх ёстой газарт хэрэглэгддэг тодорхойлсон өргөтгөл тул байхгүй нь зөв бөгөөд тохирох траффик ирэхэд хүү SA гарч ирнэ. strongSwan-ы IKEv2 тухай тэмдэглэл шаардлагын хэв маяг болон эхний тохиолдлыг шийддэг саналын тохиргоог хоёуланг нь хамарна.

Гэмтлийг оношлохын өмнө шаардлагаар эсвэл урхи тохиргоо байгаа эсэхийг шалгана уу. Хүү SA-ууд залхуугаар үүсдэг бол тайван үед хүү SA байхгүй байх нь хүлээгдэж буй байдал бөгөөд жинхэнэ сорилт нь траффик нэгийг өргөдөг эсэх юм. Энэ сорилт нь залхуу загварыг чимээгүй бүтэлгүйтлээс ялгадаг, учир нь бүтэлгүй үүсгэлт триггерийг зүгээр тайван биш, хариултгүй үлдээдэг.

Дараа нь өгөгдлийн зам асууна уу

Хүү SA байгаа үед дараагийн асуултад тоолуурууд хариулна. ip -s xfrm state холбоо бүрийн пакет, байтын тоог мэдээлдэг бөгөөд та траффик үүсгэж байхад юу ч зөөдөггүй хүү SA тохирол эсвэл маршрутлалт руу заана дутуу холбоо руу биш. swanctl --list-sas хүү SA-ийн сонгогчдыг тэдгээр тоолуурын хажууд хэвлэдэг бөгөөд пакет хүлээн авсан багц дотор байгааг яг энэ нь батална.

Тайланд амжилттай нэвтрүүлэлт болон бүтэлгүй хүү SA солилцоог тусад нь барина уу. Нэвтрүүлэлт бүтэлгүйтсэн гэж бичсэн тайлан дараагийн инженерийг гэрчилгээний агуулах руу илгээдэг, харин нарийн өгүүлбэр хамаагүй богино: IKE SA боссон, энэ урсгалын хүү SA хэзээ ч хүлээн авагдаагүй.

Хоёр үзүүрийг харьцуул

Өөрөө ажиллуулдаг серверийн хувьд нэг цагийн зөрүүтэй хоёр дахин холбогдох оролдлогыг харьцуулахын оронд ижил солилцооны клиент болон гарцын бүртгэлийг авна уу. Мэдэгдлүүд хоёр талд тохирох ёстой бөгөөд тохирохгүй газарт та буруу тохируулсан талыг олсон байна.

Хүү SA-ийн хэлэлцээрийг засаад, дараа нь зорьсон сонгогч доторх траффикоор дахин сорино уу. Дутуу объект одоо байгааг нотлох цорын ганц сорилт энэ, учир нь тайван үед шинэчлэгдсэн холбоодын жагсаалт засварын өмнө болон дараа ижил харагдаж болно.