Uw IKEv2-SA staat omhoog, maar er is geen onderliggende SA: lees de uitwisseling

IKE zegt dat de tunnel omhoog staat, dat de onderliggende SA ontbreekt, en beide uitspraken kunnen tegelijk waar zijn. Een gevestigde controlerelatie is geen data-associatie, en de twee objecten hebben aparte levensduur, onderhandelingen en faalmodi. Het eerste als connectiviteit rapporteren is de manier waarop een ticket uiteindelijk beweert dat de tunnel omhoog staat terwijl niets werkt. Lees de associatielijst in plaats van het samenvattingslabel van de verbinding, want die lijst is de enige plek waar het ontbrekende object zichtbaar is. Wat volgt is de volgorde waarin de lijst zin heeft.

Twee associaties, twee taken

Een IKE-SA draagt het controlekanaal: identiteiten, sleutels en de voorstellen voor de controle-uitwisseling zelf. Een onderliggende SA draagt de ESP-bescherming, met eigen algoritmen en eigen verkeersselectors. Authenticatie en het aanmaken van de onderliggende SA gaan meestal samen, omdat de eerste onderliggende SA binnen IKE_AUTH wordt onderhandeld, en juist die bundeling verrast mensen met de scheiding.

Het verklaart ook de twee faalvormen die u zult tegenkomen. Een onderliggende SA die tijdens de eerste uitwisseling wordt geweigerd, neemt meestal de IKE-SA mee naar beneden, zodat u helemaal geen gevestigd controlekanaal ziet. Een IKE-SA die alleen staat betekent vaker dat de eerste onderliggende SA slaagde en dat een latere poging om een onderliggende SA te maken mislukte, bijvoorbeeld tijdens een sleutelvernieuwing. Tijdstempels scheiden die gevallen sneller dan welke configuratiebeoordeling dan ook.

Welke laag weigerde

Wanneer een onderliggende SA wordt geweigerd, noemt de melding de laag. Een voorstelafwijzing betekent dat de partijen het niet eens konden worden over algoritmen, vaak omdat de ene een andere groep voor perfecte voorwaartse geheimhouding of een cipher eist die de andere niet accepteert. Een selectorafwijzing betekent dat de verkeersset ronduit werd geweigerd, en dat is een dekkingsargument, geen cryptografisch argument.

Soms is het ontbreken van een onderliggende SA het ontwerp. Een IKE-SA zonder onderliggende SA is een gedefinieerde uitbreiding die wordt gebruikt waar de data-associatie op verzoek moet worden gemaakt, dus het ontbreken is correct en de onderliggende SA verschijnt wanneer passend verkeer aankomt. De notities van strongSwan over IKEv2 behandelen zowel de stijl op verzoek als de voorstelinstellingen die het eerste geval beslissen.

Controleer op een configuratie op verzoek of een valstrik voordat u een storing diagnosticeert. Als onderliggende SA's lui worden gemaakt, is geen onderliggende SA in rust de verwachte toestand, en de echte test is of verkeer er een omhoog brengt. Die test scheidt ook een lui ontwerp van een stille fout, omdat een mislukte creatie de trigger onbeantwoord laat in plaats van alleen in rust.

Vraag dan naar het datapad

Zodra een onderliggende SA bestaat, beantwoorden de tellers de volgende vraag. ip -s xfrm state rapporteert pakket- en bytetellingen per associatie, en een onderliggende SA die niets draagt terwijl u verkeer genereert, wijst op overeenkomst of routering in plaats van naar een ontbrekende associatie. swanctl --list-sas drukt de selectors van de onderliggende SA naast die tellers af, en dat bevestigt dat het pakket binnen de geaccepteerde set zit.

Houd de geslaagde authenticatie en de mislukte uitwisseling van de onderliggende SA apart in het verslag. Een verslag dat zegt dat authenticatie mislukte, stuurt de volgende engineer naar het certificaatarchief, en de juiste zin is veel korter: de IKE-SA kwam omhoog, en de onderliggende SA voor deze stroom werd nooit geaccepteerd.

Correleer de twee uiteinden

Voor een server die u zelf beheert, haalt u de client- en gatewaylogs voor dezelfde uitwisseling op in plaats van twee herverbindingspogingen een uur uit elkaar te vergelijken. De meldingen zouden aan beide kanten moeten overeenkomen, en waar ze dat niet doen, hebt u de verkeerd geconfigureerde kant gevonden.

Corrigeer de onderhandeling over de onderliggende SA en test daarna opnieuw met verkeer binnen de bedoelde selector. Dat is de enige test die bewijst dat het ontbrekende object nu aanwezig is, omdat een associatielijst die in rust wordt vernieuwd er voor en na de correctie identiek kan uitzien.