IKE SA terbentuk, CHILD SA tiada: di mana data berhenti

Klien berkata ia telah disahkan, status IKE kelihatan sihat, dan pembilang paket kekal pada sifar. Gabungan ini bukan percanggahan: IKEv2 memisahkan hubungan kawalan daripada hubungan data, dan yang pertama boleh berjaya sementara yang kedua tidak pernah timbul. Induk mengendalikan rundingan; anak mengendalikan trafik. Baca kedua-dua lapisan secara berasingan sebelum menyebut terowong itu mati.

Apa yang kedua-dua SA lakukan

IKE SA ialah hubungan kawalan: ia mengesahkan rakan dan membawa pertukaran yang merunding, mengganti dan membuang perlindungan. Ia tidak pernah membawa paket aplikasi anda. Oleh itu induk yang sihat hanya membuktikan kedua-dua hujung boleh bersetuju tentang dasar keselamatan, dan tidak lebih.

CHILD SA ialah hubungan data, dicipta di bawah induk, dengan pemilih trafik dan bahan kunci untuk satu set terlindung. Ia mempunyai arah, jadi output status menyenaraikan persatuan masuk dan keluar dengan pengecam berasingan, dan biasanya pembilang berasingan bagi setiap arah. Pasangan inilah sebabnya satu arah boleh berfungsi sementara arah lain gugur, dan sebabnya frasa terowong sudah naik tidak berkata apa-apa tentang trafik. Satu induk juga boleh memegang beberapa anak, dan begitulah satu label sambungan menyembunyikan yang anda perlukan.

Baca entri anak, bukan label sambungan

Buka status induk dan senarai anak bersama-sama, dan cari anak yang pemilihnya sepadan dengan aliran yang anda uji. Catat pemilih trafiknya, algoritma yang dirundingkan, jangka hayatnya, dan pembilang dalam kedua-dua arah. Jika terdapat beberapa anak, padankan melalui pemilih dan bukan kedudukan, kerana kedudukan berubah selepas kunci diperbaharui. Tulis pengecam itu sebelum anda mengubah apa-apa.

Jika induk menyenaraikan set trafik yang berbeza daripada yang anda uji, anda membaca anak yang salah. Itu masalah pemilih, bukan terowong yang rosak.

Rekod cap masa juga. Pembaharuan kunci boleh menggantikan satu lapisan sementara yang lain kekal terbentuk, dan anak yang kelihatan baharu mungkin pengganti bagi yang anda perhatikan. Bandingkan pengecam sebelum membuat kesimpulan bahawa anak telah hilang.

Apabila tiada anak sama sekali

Pengesahan boleh berjaya sementara cadangan data atau pemilih gagal, dan induk kekal tanpa anak langsung. Punca biasa ialah ketidakpadanan algoritma atau ketidakpadanan pemilih trafik, dan kedua-dua rakan mencatat cadangan yang ditolak. Baca kedua-dua hujung, kerana sisi yang anda capai mungkin hanya menunjukkan penolakan. Betulkan ketidakpadanan itu dan jangan but semula induk, kerana itu mengulangi rundingan yang sama gagal dan menambah gangguan kepada bukti.

Induk yang terus terbentuk semula ialah kegagalan yang berbeza daripada induk yang kekal hidup tanpa anak. Dalam kes kedua, log menamakan cadangan yang ditolak, jadi kumpulkan cadangan itu daripada kedua-dua hujung sebelum mengubah dasar.

Apabila anak wujud tetapi pembilang kekal sifar

Hantar permintaan baharu yang sepadan dengan pemilih anak. Permintaan ke destinasi di luar dasar itu tidak akan menggerakkan pembilangnya, walau kelihatan berjaya.

Semak laluan yang sepatutnya menolak aliran ke dalam terowong, kerana anak tanpa trafik selalunya anak yang tiada apa-apa dihalakan kepadanya. Pembilang yang bergerak dalam satu arah sahaja menunjuk kepada ketidakpadanan pemilih atau dasar pada laluan pulang. Lihat pemilih pulang rakan jauh sebelum menyentuh sisi tempatan. Permintaan baharu juga memberi anda cap masa untuk dibandingkan dengan output status kedua-dua hujung.

Namakan lapisan dalam laporan

Laporkan kegagalan sebagai tiga medan dan bukan keputusan: lapisan yang gagal, pertukaran atau anak yang anda periksa, dan bukti yang anda pegang. Lapisan itu salah satu daripada tiga: induk tidak pernah terbentuk, rundingan anak ditolak, atau anak wujud dan trafik tidak sampai kepadanya. Buktinya ialah pengecam anak dengan pemilih dan pembilangnya, atau cadangan yang ditolak yang dipetik daripada kedua-dua log. Sesiapa yang membacanya boleh terus ke pertukaran yang penting tanpa bertanya VPN mana yang anda maksudkan.

strongSwan IKEv2 dokumentasi menunjukkan bagaimana lapisan itu muncul dalam output status. Lampirkan output anak yang anda uji, bukan hanya ringkasan induk.