SA IKEv2 anda aktif tetapi tiada SA anak: baca pertukaran itu

IKE mengatakan terowong aktif, SA anak tiada, dan kedua-dua kenyataan boleh benar pada masa yang sama. Hubungan kawalan yang terbentuk bukan persatuan data, dan kedua-dua objek mempunyai jangka hayat, rundingan dan mod kegagalan yang berasingan. Melaporkan yang pertama sebagai kesalinghubungan ialah cara tiket akhirnya mendakwa terowong aktif sedangkan tiada apa yang berfungsi. Baca senarai persatuan, bukan label ringkasan sambungan, kerana senarai itu satu-satunya tempat objek yang hilang kelihatan. Berikut ialah susunan yang menjadikan senarai itu masuk akal.

Dua persatuan, dua tugas

SA IKE membawa saluran kawalan: identiti, kunci dan cadangan untuk pertukaran kawalan itu sendiri. SA anak membawa perlindungan ESP, dengan algoritma sendiri dan pemilih trafik sendiri. Pengesahan dan penciptaan SA anak biasanya bergerak bersama, kerana SA anak pertama dirundingkan di dalam IKE_AUTH, dan penggabungan itulah yang mengejutkan orang tentang pemisahan ini.

Ini juga menjelaskan dua bentuk kegagalan yang akan anda temui. SA anak yang ditolak semasa pertukaran awal biasanya menjatuhkan SA IKE bersamanya, jadi anda tidak melihat sebarang saluran kawalan yang terbentuk. SA IKE yang berdiri sendiri lebih kerap bermakna SA anak pertama berjaya dan percubaan kemudian untuk mencipta SA anak gagal, contohnya semasa pembaharuan kunci. Cap masa memisahkan kes-kes itu lebih cepat daripada sebarang semakan konfigurasi.

Lapisan mana yang menolak

Apabila SA anak ditolak, pemberitahuan menamakan lapisan itu. Penolakan cadangan bermaksud kedua-dua pihak tidak dapat bersetuju tentang algoritma, selalunya kerana satu pihak memerlukan kumpulan kerahsiaan ke hadapan sempurna yang berbeza atau sifer yang tidak akan diterima pihak lain. Penolakan pemilih bermaksud set trafik ditolak terus, dan itu hujah liputan, bukan hujah kriptografi.

Kadang-kadang ketiadaan SA anak ialah reka bentuknya. SA IKE tanpa SA anak ialah sambungan yang ditakrifkan yang digunakan di tempat persatuan data perlu dicipta atas permintaan, jadi ketiadaannya betul dan SA anak muncul apabila trafik yang sepadan tiba. Nota strongSwan tentang IKEv2 merangkumi gaya atas permintaan dan tetapan cadangan yang menentukan kes pertama.

Semak konfigurasi atas permintaan atau perangkap sebelum mendiagnosis kerosakan. Jika SA anak dicipta secara malas, ketiadaan SA anak semasa diam ialah keadaan yang dijangka, dan ujian sebenar ialah sama ada trafik menaikkan satu. Ujian itu juga memisahkan reka bentuk malas daripada kegagalan senyap, kerana penciptaan yang gagal membiarkan pencetus tanpa jawapan dan bukan sekadar diam.

Kemudian tanya tentang laluan data

Setelah SA anak wujud, pembilang menjawab soalan seterusnya. ip -s xfrm state melaporkan kiraan paket dan bait bagi setiap persatuan, dan SA anak yang tidak membawa apa-apa semasa anda menjana trafik menunjuk ke padanan atau penghalaan bukan ke persatuan yang hilang. swanctl --list-sas mencetak pemilih SA anak di sebelah pembilang itu, dan itulah yang mengesahkan paket berada di dalam set yang diterima.

Asingkan pengesahan yang berjaya dan pertukaran SA anak yang gagal dalam laporan. Laporan yang mengatakan pengesahan gagal menghantar jurutera seterusnya ke stor sijil, dan ayat yang tepat jauh lebih pendek: SA IKE naik, dan SA anak untuk aliran ini tidak pernah diterima.

Korelasikan kedua-dua hujung

Bagi pelayan yang anda jalankan sendiri, ambil log klien dan get laluan untuk pertukaran yang sama daripada membandingkan dua cubaan sambung semula dengan jarak satu jam. Pemberitahuan sepatutnya sepadan di kedua-dua belah, dan di tempat yang tidak sepadan, anda telah menemui pihak yang salah konfigurasi.

Betulkan rundingan SA anak, kemudian uji semula dengan trafik di dalam pemilih yang dimaksudkan. Itulah satu-satunya ujian yang membuktikan objek yang hilang kini hadir, kerana senarai persatuan yang disegarkan semasa diam boleh kelihatan sama sebelum dan selepas pembetulan.