IKEv2-SA-en din er oppe, men det finst ingen underordna SA: les utvekslinga

IKE seier at tunnelen er oppe, at den underordna SA-en manglar, og begge utsegna kan vere sanne samstundes. Ein etablert kontrollrelasjon er ikkje ei datatilknyting, og dei to objekta har separate levetider, forhandlingar og feilmodusar. Å rapportere det første som tilkopling er måten ei sak til slutt hevdar at tunnelen er oppe medan ingenting verkar. Les tilknytingslista i staden for samandragetiketten på sambandet, fordi den lista er den einaste staden der det manglande objektet er synleg. Det som følgjer er rekkjefølgja der lista gjev meining.

To tilknytingar, to jobbar

Ein IKE-SA ber kontrollkanalen: identitetar, nøklar og forslaga for sjølve kontrollutvekslinga. Ein underordna SA ber ESP-vernet, med eigne algoritmar og eigne trafikkselektorar. Autentisering og oppretting av den underordna SA-en følgjer vanlegvis kvarandre, fordi den første underordna SA-en blir forhandla inne i IKE_AUTH, og nettopp den samlinga overraskar folk med skiljet.

Det forklarar òg dei to feilformene du vil møte. Ein underordna SA som blir avvist under den innleiande utvekslinga tek vanlegvis IKE-SA-en med ned, så du ser ingen etablert kontrollkanal i det heile. Ein IKE-SA som står åleine tyder oftare at den første underordna SA-en lukkast og at eit seinare forsøk på å opprette ein underordna SA mislukkast, til dømes under ein nøkkelutskifting. Tidsstempel skil desse sakene raskare enn noka gjennomgang av konfigurasjonen.

Kva lag avviste

Når ein underordna SA blir avvist, namngjev varselet laget. Ei avvising av forslaget tyder at partane ikkje kunne bli samde om algoritmar, ofte fordi den eine krev ein annan gruppe for perfekt framoverretta løyndom eller ein chiffre den andre ikkje vil godta. Ei avvising av selektoren tyder at trafikksettet vart avvist direkte, og det er eit dekningsargument, ikkje eit kryptografisk.

Stundom er fråværet av ein underordna SA designet. Ein IKE-SA utan underordna SA er ei definert utviding som blir brukt der datatilknytinga skal opprettast på førespurnad, så fråværet er rett og den underordna SA-en dukkar opp når passande trafikk kjem. strongSwan sine notat om IKEv2 dekkjer både stilen på førespurnad og forslagsinnstillingane som avgjer det første tilfellet.

Kontroller om det finst ein konfigurasjon på førespurnad eller ei felle før du diagnostiserer ein feil. Om underordna SA-ar blir oppretta dovent, er ingen underordna SA i kvile den venta tilstanden, og den eigentlege prøva er om trafikk reiser ein. Den prøva skil òg eit dovent design frå ein stille feil, fordi ei mislukka oppretting lèt utløysaren stå ubesvart i staden for berre i kvile.

Spør så om datastien

Når ein underordna SA først finst, svarar teljarane på det neste spørsmålet. ip -s xfrm state rapporterer pakke- og bytetal per tilknyting, og ein underordna SA som ikkje ber noko medan du genererer trafikk, peikar på samsvar eller ruting i staden for mot ei manglande tilknyting. swanctl --list-sas skriv ut selektorane til den underordna SA-en ved sida av desse teljarane, og det stadfestar at pakken ligg inne i det aksepterte settet.

Hald den vellukka autentiseringa og den mislukka utvekslinga av den underordna SA-en skilde i rapporten. Ein rapport som seier at autentiseringa mislukkast, sender den neste ingeniøren til sertifikatlageret, og den presise setninga er mykje kortare: IKE-SA-en kom opp, og den underordna SA-en for denne flyten vart aldri akseptert.

Korrelér dei to endane

For ein tenar du sjølv driv, hent klient- og gateway-loggene for den same utvekslinga i staden for å samanlikne to gjenoppkoplingsforsøk ein time frå kvarandre. Varsla bør stemme på begge sider, og der dei ikkje gjer det, har du funne parten som er feilkonfigurert.

Rett forhandlinga av den underordna SA-en, og test deretter på nytt med trafikk inne i den tiltenkte selektoren. Det er den einaste prøva som beviser at det manglande objektet no er til stades, fordi ei tilknytingsliste som blir oppdatert i kvile kan sjå identisk ut før og etter rettinga.