IKE SA etablert, CHILD SA manglar: der dataa stoppar

Klienten seier at han er autentisert, IKE-statusen ser sunn ut, og pakketeljarane blir ståande på null. Denne kombinasjonen er inga sjølvmotseiing: IKEv2 held ein kontrollrelasjon og ein datarelasjon skilde, og den første kan lukkast medan den andre aldri kjem opp. Forelderen handsamar forhandlinga; barnet handsamar trafikken. Les dei to laga kvar for seg før du kallar tunnelen nede.

Kva dei to SA-ane gjer

IKE SA er kontrollrelasjonen: han autentiserer partane og ber utvekslingane som forhandlar, erstattar og fjernar vern. Han ber aldri applikasjonspakkane dine. Ein sunn forelder beviser derfor berre at dei to endane kan bli samde om tryggingspolitikken, og ikkje noko meir.

Ein CHILD SA er datarelasjonen, oppretta under forelderen, med trafikkselektorar og nøkkelmateriale for eitt verna sett. Han er retningsbestemt, så statusutskrifta viser ein inngåande og ein utgåande assosiasjon med skilde identifikatorar, og vanlegvis skilde teljarar for kvar retning. Dette paret er grunnen til at éi retning kan verke medan den andre fell, og til at uttrykket tunnelen er oppe ikkje seier noko om trafikk. Ein forelder kan òg halde fleire born, og slik gøymer éi tilkoplingsetikett det du treng.

Les oppføringane til barnet, ikkje tilkoplingsetiketten

Opne forelderstatusen og barnelista saman, og finn barnet der selektorane svarar til flyten du testar. Noter trafikkselektorane, dei forhandla algoritmane, levetida og teljarane i båe retningar. Viss det finst fleire born, match på selektorar og ikkje på posisjon, fordi posisjonen endrar seg etter ein nøkkelreversering. Skriv ned identifikatorane før du endrar noko.

Viss forelderen listar eit anna trafikksett enn det du testar, les du feil barn. Det er eit selektorproblem, ikkje ein øydelagd tunnel.

Registrer tidsstempel òg. Ein nøkkelreversering kan erstatta eitt lag medan det andre blir verande etablert, og eit barn som ser nytt ut, kan vera erstattaren for det du fylgde med på. Samanlikn identifikatorane før du konkluderer med at eit barn forsvann.

Når det ikkje finst noko barn

Autentiseringa kan lukkast medan datatilbodet eller selektorane feilar, og då blir forelderen ståande heilt utan barn. Den vanlege årsaka er ein algoritmeforskjell eller ein forskjell i trafikkselektorane, og båe partane loggar det avviste tilbodet. Les båe endar, fordi sida du når, kanskje berre viser avvisinga. Rett opp forskjellen i staden for å starta forelderen på nytt, for det gjer den same mislukka forhandlinga om att og legg eit nytt avbrot til beviset.

Ein forelder som stadig etablerer seg på nytt, er ein annan feil enn ein forelder som blir ståande utan barn. I det andre tilfellet namngir loggane tilbodet som vart avvist, så samle det tilbodet frå båe endar før du endrar ein policy.

Når barnet finst, men teljarane blir ståande på null

Send ein ny førespurnad som svarar til selektorane til barnet. Ein førespurnad til ein destinasjon utanfor den policyen flyttar ikkje teljarane, uansett kor vellukka han ser ut.

Kontroller ruta som skal pressa flyten inn i tunnelen, fordi eit barn utan trafikk ofte er eit barn ingenting blir ruta til. Teljarar som berre rører seg i éi retning, peikar på ein selektor- eller policyforskjell på returvegen. Sjå på returselektorane til den eksterne parten før du rører den lokale sida. Ein ny førespurnad gjev deg òg eit tidsstempel å korrelere mot statusutskrifta til båe endar.

Namnset laget i rapporten

Rapporter feilen som tre felt og ikkje ein dom: laget som feila, utvekslinga eller barnet du undersøkte, og beviset du har. Laget er eitt av tre: forelderen vart aldri etablert, forhandlinga til barnet vart avvist, eller eit barn finst og trafikken når det ikkje. Beviset er identifikatoren til barnet med selektorane og teljarane, eller det avviste tilbodet sitert frå båe loggane. Den som les det, kan gå rett til utvekslinga som tel, i staden for å spørja kva VPN du meiner.

strongSwan IKEv2-dokumentasjonen viser korleis desse laga ser ut i statusutskrifta. Legg ved utskrifta til barnet du testa, ikkje berre samandraget til forelderen.