IKEv2-SA-en din er oppe, men det finnes ingen underordnet SA: les utvekslingen

IKE sier at tunnelen er oppe, at den underordnede SA-en mangler, og begge utsagnene kan være sanne samtidig. En etablert kontrollrelasjon er ikke en datatilknytning, og de to objektene har separate levetider, forhandlinger og feilmoduser. Å rapportere det første som tilkobling er måten en sak til slutt hevder at tunnelen er oppe mens ingenting virker. Les tilknytningslisten i stedet for sammendragetiketten på forbindelsen, fordi den listen er det eneste stedet der det manglende objektet er synlig. Det som følger er rekkefølgen der listen gir mening.

To tilknytninger, to jobber

En IKE-SA bærer kontrollkanalen: identiteter, nøkler og forslagene for selve kontrollutvekslingen. En underordnet SA bærer ESP-beskyttelsen, med egne algoritmer og egne trafikkselektorer. Autentisering og oppretting av den underordnede SA-en følger vanligvis hverandre, fordi den første underordnede SA-en forhandles inne i IKE_AUTH, og nettopp den samlingen overrasker folk med skillet.

Det forklarer også de to feilformene du vil møte. En underordnet SA som avvises under den innledende utvekslingen tar vanligvis IKE-SA-en med ned, så du ser ingen etablert kontrollkanal i det hele tatt. En IKE-SA som står alene betyr oftere at den første underordnede SA-en lyktes og at et senere forsøk på å opprette en underordnet SA mislyktes, for eksempel under en nøkkelutskifting. Tidsstempler skiller disse sakene raskere enn noen gjennomgang av konfigurasjonen.

Hvilket lag avviste

Når en underordnet SA avvises, navngir varselet laget. En avvisning av forslaget betyr at partene ikke kunne bli enige om algoritmer, ofte fordi den ene krever en annen gruppe for perfekt fremoverrettet hemmelighet eller en chiffre den andre ikke vil akseptere. En avvisning av selektoren betyr at trafikksettet ble avvist direkte, og det er et dekningsargument, ikke et kryptografisk.

Noen ganger er fraværet av en underordnet SA designet. En IKE-SA uten underordnet SA er en definert utvidelse som brukes der datatilknytningen skal opprettes på forespørsel, så fraværet er riktig og den underordnede SA-en dukker opp når passende trafikk kommer. strongSwans notater om IKEv2 dekker både stilen på forespørsel og forslagsinnstillingene som avgjør det første tilfellet.

Kontroller om det finnes en konfigurasjon på forespørsel eller en felle før du diagnostiserer en feil. Hvis underordnede SA-er opprettes dovent, er ingen underordnet SA i hvile den forventede tilstanden, og den egentlige prøven er om trafikk reiser en. Den prøven skiller også et dovent design fra en stille feil, fordi en mislykket oppretting lar utløseren stå ubesvart i stedet for bare i hvile.

Spør så om datastien

Når en underordnet SA først finnes, svarer tellerne på det neste spørsmålet. ip -s xfrm state rapporterer pakke- og byttetall per tilknytning, og en underordnet SA som ikke bærer noe mens du genererer trafikk, peker på samsvar eller ruting i stedet for mot en manglende tilknytning. swanctl --list-sas skriver ut selektorene til den underordnede SA-en ved siden av disse tellerne, og det bekrefter at pakken ligger inne i det aksepterte settet.

Hold den vellykkede autentiseringen og den mislykkede utvekslingen av den underordnede SA-en atskilt i rapporten. En rapport som sier at autentiseringen mislyktes, sender den neste ingeniøren til sertifikatlageret, og den presise setningen er mye kortere: IKE-SA-en kom opp, og den underordnede SA-en for denne flyten ble aldri akseptert.

Korrelér de to endene

For en server du selv driver, hent klient- og gateway-loggene for den samme utvekslingen i stedet for å sammenligne to gjenoppkoblingsforsøk en time fra hverandre. Varslene bør stemme på begge sider, og der de ikke gjør det, har du funnet parten som er feilkonfigurert.

Rett forhandlingen av den underordnede SA-en, og test deretter på nytt med trafikk inne i den tiltenkte selektoren. Det er den eneste prøven som beviser at det manglende objektet nå er til stede, fordi en tilknytningsliste som oppdateres i hvile kan se identisk ut før og etter rettelsen.