IKEv2 mhuwiex handshake wieħed: IKE SA, awtentikazzjoni, imbagħad CHILD SA
It-tweġiba tal-gateway turi li wieħed jista' jasal, mhux l-identità. Segwi IKE_SA_INIT, IKE_AUTH u l-ewwel CHILD SA, imbagħad iċċekkja x'irid ikun veru qabel ma jgħaddi t-traffiku.
Forsi taħseb li konnessjoni IKEv2 hija skambju wieħed li jispiċċa bit-traffiku tiegħek encrypted. Huma mill-inqas tnejn, u l-ewwel waħda ma tawtentika lil ħadd. Il-pari jibdew b'messaġġi ta' kontroll, jaqblu fuq parametri kriptografiċi, jippruvaw l-identità, u biss wara jinnegozjaw l-istat li jġorr il-pakketti tal-applikazzjoni. Dan l-ordni jispjega n-nuqqas ta' qbil li n-nies jirrappurtaw kontinwament: il-gateway iwieġeb, il-klijent jgħid konness, u l-applikazzjoni privata xorta tispiċċa fi timeout. Hawnhekk x'inhu jagħmel kull stadju fil-verità, u x'irid ikun veru warajh.
Il-mit: jekk il-gateway iwieġeb, int konness
Tweġiba għall-ewwel messaġġ turi li l-punt tat-tarf jista' jintlaħaq u lest jitkellem. Ma turix li kont ġie aċċettat, li katina ta' ċertifikati ġiet validata, jew li ġiet installata xi politika tad-data.
Dawk il-fallimenti jiġru aktar tard, u jagħtu sintomi differenti. Ċaħda ta' ċertifikat jew falliment EAP tasal wara li l-ewwel skambju diġà rnexxa, u għalhekk ping lejn UDP 500 u ikona ħadra fil-klijent jgħidulek ftit wisq.
IKE_SA_INIT: aqbel fuq parametri, mhux fuq identità
L-ewwel skambju jġorr il-proposti għall-assoċjazzjoni tas-sigurtà IKE: algoritmi ta' encryption u integrità, funzjoni psewdo-kaswali, u grupp Diffie-Hellman. Il-pari jiskambjaw ukoll nonces, u kull naħa tislet il-materjal tal-ħtiem għall-IKE SA mis-sigriet kondiviż li joħolqu dawk il-valuri. Xejn f'dan l-iskambju ma jistabbilixxi min hu l-parti l-oħra. Jistabbilixxi biss li ż-żewġ naħat jistgħu jikkalkulaw l-istess ħtiem u li jaqblu fuq proposta. Min jibgħat tweġiba u ma jogħġbu l-ebda proposta jirrifjuta l-iskambju hawn, u għalhekk nuqqas ta' qbil fil-verżjoni jew fl-algoritmu jidher bħallikieku s-server waqa'.
L-IKE SA maħluq f'dan il-punt jipproteġi l-iskambji kollha tal-ġestjoni li jiġu wara. Dan hu x-xogħol tiegħu, u hu xogħol differenti milli tipproteġi l-pakketti tiegħek.
IKE_AUTH: ipprova l-identità, imbagħad ibni l-ewwel CHILD SA
It-tieni skambju jġorr l-identità. Biċ-ċertifikati, kull pari jiffirma bil-ħtija privata tiegħu u jippreżenta katina li l-ieħor irid jivvalida; bl-EAP, min iwieġeb jisfida lil min jibda permezz tal-metodu magħżul. Hawn fl-aħħar joħorġu isem ta' server ħażin, ċertifikat skadut jew password miċħuda.
Normalment IKE_AUTH jinnegozja wkoll l-ewwel CHILD SA, u għalhekk il-protezzjoni tad-data tiġi miftiehma fl-istess vjaġġ. Min jibda jipproponi seletturi tat-traffiku, min iwieġeb jiddejjaqhom jew jirrifjutahom, u l-ħtiem tal-passaġġ tad-data jinħolqu mill-IKE SA. Dan ifisser li skambju wieħed jista' jfalli f'żewġ postijiet differenti ħafna: identità jew politika. Aqra l-payload tan-notifika jew l-iżball minflok il-falliment ġeneriku tal-handshake, għax it-tiswija ta' wieħed hija ċertifikat u tat-tieni hija nuqqas ta' qbil fis-subnet.
Żewġ SA, żewġ xogħlijiet
| Assoċjazzjoni | Tipproteġi | Imġieba tal-ħajja |
|---|---|---|
| IKE SA | Skambji tal-ġestjoni: tiġdid tal-ħtiem, tħassir, payloads tal-konfigurazzjoni | Jiġġedded skont l-iskeda tiegħu stess; il-passaġġ tad-data jista' jibqa' għaddej minkejja l-bidla |
| CHILD SA | Traffiku tal-applikazzjoni li jaqbel mas-seletturi tat-traffiku | Jiġġedded b'mod indipendenti, spiss aktar spiss |
Li żżommhom mifruda jispjega żewġ imġibiet li jidhru bħal bugs. Tunnel jista' jidher stabbilit waqt li tiġdid tal-ħtiem qed ifalli fil-isfond, u CHILD SA jista' jiġi sostitwit mingħajr il-klijent ma jitlef il-konnessjoni.
Fuq strongSwan, ir-referenza tal-konfigurazzjoni tal-IKEv2 u swanctl --list-sas juru ż-żewġ livelli, u ip xfrm state flimkien ma' ip xfrm policy juru x'installa tassew il-kernel. Li tqabbel dawn iż-żewġ veduti huwa l-aktar mod mgħaġġel biex tara jekk in-negozjat spiċċax jew biss deher spiċċa. Jekk id-daemon jelenka CHILD SA li l-kernel m'għandux stat għalih, l-installazzjoni falliet fis-skiet. Jekk il-kernel iżomm stat li d-daemon ma jafx bih, qed tara fdal ta' attentat preċedenti.
X'irid għadu veru wara li jgħaddi t-tunnel
Is-seletturi tat-traffiku jiddefinixxu liema indirizzi huma koperti. Jekk il-klijent jipproponi subnet u s-server jistenna oħra, l-CHILD SA jiġi installat imma ma jġorr xejn utli, u l-iżball jidher bħala problema ta' routing u mhux ta' negozjat. Imbagħad il-munzell lokali jrid jikkoopera: forwarding mixgħul fejn l-host jagħmel routing, rotot lejn it-tunnel, regoli tal-firewall li jippermettu l-pakketti dekapsulati, u resolver intern jekk huma involuti ismijiet privati. Kull wieħed minnhom ifalli għalih u ħadd minnhom ma jiġi msewwi billi terġa' tibda d-daemon tal-IKE.
Żomm il-log viżibbli waqt li tiddijanjostika: l-iskambju inizjali, imbagħad il-validazzjoni tal-identità, imbagħad l-awtentikazzjoni tal-utent fejn tapplika, imbagħad l-installazzjoni tal-CHILD, u fl-aħħar it-traffiku tal-applikazzjoni. L-istadju li jieqaf huwa dak li għandu jiġi msewwi, u falliment ta' routing aktar tard qatt mhu raġuni biex jitħallew lill-kontrolli tal-identità li għaddew diġà.