IKEv2 ਇੱਕੋ ਹੈਂਡਸ਼ੇਕ ਨਹੀਂ: ਪਹਿਲਾਂ IKE SA, ਫਿਰ ਪ੍ਰਮਾਣਿਕਤਾ ਅਤੇ ਫਿਰ CHILD SA
ਗੇਟਵੇ ਦਾ ਜਵਾਬ ਪਹੁੰਚ ਦੱਸਦਾ ਹੈ, ਪਛਾਣ ਨਹੀਂ। IKE_SA_INIT, IKE_AUTH ਅਤੇ ਪਹਿਲੇ CHILD SA ਦੀ ਪੈਰਵੀ ਕਰੋ, ਫਿਰ ਵੇਖੋ ਕਿ ਟ੍ਰੈਫਿਕ ਲੰਘਣ ਤੋਂ ਪਹਿਲਾਂ ਕੀ ਸੱਚ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ।
ਤੁਸੀਂ ਸੋਚ ਸਕਦੇ ਹੋ ਕਿ IKEv2 ਕਨੈਕਸ਼ਨ ਇੱਕੋ ਅਦਲਾ-ਬਦਲੀ ਹੈ ਜੋ ਤੁਹਾਡੇ ਟ੍ਰੈਫਿਕ ਦੇ ਐਨਕ੍ਰਿਪਟ ਹੋਣ ਨਾਲ ਖਤਮ ਹੁੰਦੀ ਹੈ। ਅਸਲ ਵਿੱਚ ਘੱਟੋ-ਘੱਟ ਦੋ ਹਨ, ਅਤੇ ਪਹਿਲੀ ਕਿਸੇ ਦੀ ਵੀ ਪ੍ਰਮਾਣਿਕਤਾ ਨਹੀਂ ਕਰਦੀ। ਦੋਵੇਂ ਧਿਰਾਂ ਕੰਟਰੋਲ ਸੁਨੇਹਿਆਂ ਨਾਲ ਸ਼ੁਰੂ ਕਰਦੀਆਂ ਹਨ, ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਪੈਰਾਮੀਟਰਾਂ 'ਤੇ ਸਹਿਮਤ ਹੁੰਦੀਆਂ ਹਨ, ਪਛਾਣ ਸਿੱਧ ਕਰਦੀਆਂ ਹਨ ਅਤੇ ਉਸ ਤੋਂ ਬਾਅਦ ਹੀ ਉਸ ਸਥਿਤੀ 'ਤੇ ਗੱਲਬਾਤ ਕਰਦੀਆਂ ਹਨ ਜੋ ਐਪਲੀਕੇਸ਼ਨ ਪੈਕਟ ਲੈ ਕੇ ਜਾਂਦੀ ਹੈ। ਇਹੀ ਕ੍ਰਮ ਉਸ ਅਸੰਗਤੀ ਦੀ ਵਿਆਖਿਆ ਕਰਦਾ ਹੈ ਜਿਸ ਦੀ ਲੋਕ ਲਗਾਤਾਰ ਸ਼ਿਕਾਇਤ ਕਰਦੇ ਹਨ: ਗੇਟਵੇ ਜਵਾਬ ਦਿੰਦਾ ਹੈ, ਕਲਾਇੰਟ ਕਹਿੰਦਾ ਹੈ ਕਨੈਕਟ ਹੈ, ਅਤੇ ਪ੍ਰਾਈਵੇਟ ਐਪਲੀਕੇਸ਼ਨ ਫਿਰ ਵੀ ਸਮਾਂ ਸੀਮਾ ਪਾਰ ਕਰ ਜਾਂਦੀ ਹੈ। ਹੇਠਾਂ ਦਿੱਤਾ ਹੈ ਕਿ ਹਰ ਪੜਾਅ ਅਸਲ ਵਿੱਚ ਕੀ ਕਰਦਾ ਹੈ ਅਤੇ ਉਸ ਤੋਂ ਬਾਅਦ ਕੀ ਸੱਚ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ।
ਭਰਮ: ਜੇ ਗੇਟਵੇ ਜਵਾਬ ਦਿੰਦਾ ਹੈ ਤਾਂ ਤੁਸੀਂ ਕਨੈਕਟ ਹੋ
ਪਹਿਲੇ ਸੁਨੇਹੇ ਦਾ ਜਵਾਬ ਸਿੱਧ ਕਰਦਾ ਹੈ ਕਿ ਅੰਤ ਬਿੰਦੂ ਪਹੁੰਚਯੋਗ ਹੈ ਅਤੇ ਬੋਲਣ ਲਈ ਤਿਆਰ ਹੈ। ਇਹ ਨਹੀਂ ਸਿੱਧ ਕਰਦਾ ਕਿ ਖਾਤਾ ਸਵੀਕਾਰ ਹੋਇਆ, ਸਰਟੀਫਿਕੇਟ ਚੇਨ ਜਾਇਜ਼ ਹੋਈ, ਜਾਂ ਕੋਈ ਡੇਟਾ ਨੀਤੀ ਲੱਗੀ।
ਉਹ ਅਸਫਲਤਾਵਾਂ ਬਾਅਦ ਵਿੱਚ ਹੁੰਦੀਆਂ ਹਨ ਅਤੇ ਵੱਖਰੇ ਲੱਛਣ ਦਿੰਦੀਆਂ ਹਨ। ਸਰਟੀਫਿਕੇਟ ਦਾ ਇਨਕਾਰ ਜਾਂ EAP ਦੀ ਅਸਫਲਤਾ ਪਹਿਲੀ ਅਦਲਾ-ਬਦਲੀ ਸਫਲ ਹੋਣ ਤੋਂ ਬਾਅਦ ਆਉਂਦੀ ਹੈ, ਇਸ ਲਈ UDP 500 'ਤੇ ping ਅਤੇ ਕਲਾਇੰਟ ਦਾ ਹਰਾ ਚਿੰਨ੍ਹ ਬਹੁਤ ਘੱਟ ਦੱਸਦੇ ਹਨ।
IKE_SA_INIT: ਪੈਰਾਮੀਟਰਾਂ 'ਤੇ ਸਹਿਮਤੀ, ਪਛਾਣ 'ਤੇ ਨਹੀਂ
ਪਹਿਲੀ ਅਦਲਾ-ਬਦਲੀ IKE ਸੁਰੱਖਿਆ ਸੰਗਠਨ ਲਈ ਪ੍ਰਸਤਾਵ ਲੈ ਕੇ ਜਾਂਦੀ ਹੈ: ਐਨਕ੍ਰਿਪਸ਼ਨ ਅਤੇ ਅਖੰਡਤਾ ਐਲਗੋਰਿਦਮ, ਸਿਊਡੋ-ਰੈਂਡਮ ਫੰਕਸ਼ਨ ਅਤੇ Diffie-Hellman ਗਰੁੱਪ। ਧਿਰਾਂ nonce ਵੀ ਬਦਲਦੀਆਂ ਹਨ, ਅਤੇ ਹਰ ਧਿਰ ਉਨ੍ਹਾਂ ਮੁੱਲਾਂ ਤੋਂ ਬਣਨ ਵਾਲੇ ਸਾਂਝੇ ਭੇਦ ਤੋਂ IKE SA ਲਈ ਕੁੰਜੀ ਸਮੱਗਰੀ ਲੈਂਦੀ ਹੈ। ਇਸ ਅਦਲਾ-ਬਦਲੀ ਵਿੱਚ ਕੁਝ ਵੀ ਇਹ ਨਹੀਂ ਦੱਸਦਾ ਕਿ ਦੂਜੀ ਧਿਰ ਕੌਣ ਹੈ। ਇਹ ਸਿਰਫ਼ ਦੱਸਦੀ ਹੈ ਕਿ ਦੋਵੇਂ ਧਿਰਾਂ ਇੱਕੋ ਕੁੰਜੀਆਂ ਗਿਣ ਸਕਦੀਆਂ ਹਨ ਅਤੇ ਇੱਕ ਪ੍ਰਸਤਾਵ 'ਤੇ ਸਹਿਮਤ ਹਨ। ਜਿਸ ਨੂੰ ਕੋਈ ਪ੍ਰਸਤਾਵ ਪਸੰਦ ਨਹੀਂ, ਉਹ ਜਵਾਬ ਦੇਣ ਵਾਲਾ ਇੱਥੇ ਅਦਲਾ-ਬਦਲੀ ਰੱਦ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਵਰਜਨ ਜਾਂ ਐਲਗੋਰਿਦਮ ਦੀ ਅਸੰਗਤੀ ਸਰਵਰ ਬੰਦ ਹੋਣ ਵਾਂਗ ਦਿਸਦੀ ਹੈ।
ਇਸ ਬਿੰਦੂ 'ਤੇ ਬਣਿਆ IKE SA ਬਾਅਦ ਦੀਆਂ ਸਾਰੀਆਂ ਪ੍ਰਬੰਧਨ ਅਦਲਾ-ਬਦਲੀਆਂ ਦੀ ਰੱਖਿਆ ਕਰਦਾ ਹੈ। ਇਹ ਉਸਦਾ ਕੰਮ ਹੈ, ਅਤੇ ਇਹ ਤੁਹਾਡੇ ਪੈਕਟਾਂ ਦੀ ਰੱਖਿਆ ਤੋਂ ਵੱਖਰਾ ਕੰਮ ਹੈ।
IKE_AUTH: ਪਛਾਣ ਸਿੱਧ ਕਰੋ ਅਤੇ ਫਿਰ ਪਹਿਲਾ CHILD SA ਬਣਾਓ
ਦੂਜੀ ਅਦਲਾ-ਬਦਲੀ ਪਛਾਣ ਲੈ ਕੇ ਜਾਂਦੀ ਹੈ। ਸਰਟੀਫਿਕੇਟਾਂ ਨਾਲ, ਹਰ ਧਿਰ ਆਪਣੀ ਨਿੱਜੀ ਕੁੰਜੀ ਨਾਲ ਦਸਤਖਤ ਕਰਦੀ ਹੈ ਅਤੇ ਅਜਿਹੀ ਚੇਨ ਪੇਸ਼ ਕਰਦੀ ਹੈ ਜੋ ਦੂਜੀ ਧਿਰ ਨੂੰ ਜਾਇਜ਼ ਕਰਨੀ ਪੈਂਦੀ ਹੈ; EAP ਨਾਲ, ਜਵਾਬ ਦੇਣ ਵਾਲਾ ਚੁਣੀ ਹੋਈ ਵਿਧੀ ਰਾਹੀਂ ਸ਼ੁਰੂ ਕਰਨ ਵਾਲੇ ਨੂੰ ਚੁਣੌਤੀ ਦਿੰਦਾ ਹੈ। ਇੱਥੇ ਹੀ ਗਲਤ ਸਰਵਰ ਨਾਮ, ਮਿਆਦ ਪੁੱਗਿਆ ਸਰਟੀਫਿਕੇਟ ਜਾਂ ਰੱਦ ਕੀਤਾ ਪਾਸਵਰਡ ਅਖੀਰ ਸਾਹਮਣੇ ਆਉਂਦਾ ਹੈ।
ਆਮ ਕੇਸ ਵਿੱਚ IKE_AUTH ਪਹਿਲੇ CHILD SA 'ਤੇ ਵੀ ਗੱਲਬਾਤ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਡੇਟਾ ਸੁਰੱਖਿਆ ਉਸੇ ਆਉਣ-ਜਾਣ ਵਿੱਚ ਤੈਅ ਹੁੰਦੀ ਹੈ। ਸ਼ੁਰੂ ਕਰਨ ਵਾਲਾ ਟ੍ਰੈਫਿਕ ਚੋਣਕਰਤਾ ਪੇਸ਼ ਕਰਦਾ ਹੈ, ਜਵਾਬ ਦੇਣ ਵਾਲਾ ਉਨ੍ਹਾਂ ਨੂੰ ਸੰਕੁਚਿਤ ਜਾਂ ਰੱਦ ਕਰਦਾ ਹੈ, ਅਤੇ ਡੇਟਾ ਮਾਰਗ ਦੀਆਂ ਕੁੰਜੀਆਂ IKE SA ਤੋਂ ਲਈਆਂ ਜਾਂਦੀਆਂ ਹਨ। ਇਸਦਾ ਅਰਥ ਹੈ ਕਿ ਇੱਕ ਅਦਲਾ-ਬਦਲੀ ਦੋ ਬਹੁਤ ਵੱਖਰੀਆਂ ਥਾਵਾਂ 'ਤੇ ਅਸਫਲ ਹੋ ਸਕਦੀ ਹੈ: ਪਛਾਣ ਜਾਂ ਨੀਤੀ। ਆਮ ਹੈਂਡਸ਼ੇਕ ਅਸਫਲਤਾ ਦੀ ਥਾਂ ਸੂਚਨਾ ਪੇਲੋਡ ਜਾਂ ਗਲਤੀ ਪੜ੍ਹੋ, ਕਿਉਂਕਿ ਇੱਕ ਦਾ ਇਲਾਜ ਸਰਟੀਫਿਕੇਟ ਹੈ ਅਤੇ ਦੂਜੇ ਦਾ ਸਬਨੈੱਟ ਅਸੰਗਤੀ।
ਦੋ SA, ਦੋ ਕੰਮ
| ਸੰਗਠਨ | ਰੱਖਿਆ ਕਰਦਾ ਹੈ | ਉਮਰ ਦਾ ਵਿਵਹਾਰ |
|---|---|---|
| IKE SA | ਪ੍ਰਬੰਧਨ ਅਦਲਾ-ਬਦਲੀਆਂ: ਕੁੰਜੀ ਮੁੜ-ਬਣਾਉਣਾ, ਮਿਟਾਉਣਾ, ਸੰਰਚਨਾ ਪੇਲੋਡ | ਆਪਣੇ ਸਮਾਂ-ਸਾਰਣੀ ਅਨੁਸਾਰ ਮੁੜ ਬਣਦੀ ਹੈ; ਡੇਟਾ ਮਾਰਗ ਬਦਲਾਅ ਸਹਿ ਸਕਦਾ ਹੈ |
| CHILD SA | ਟ੍ਰੈਫਿਕ ਚੋਣਕਰਤਾ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਐਪਲੀਕੇਸ਼ਨ ਟ੍ਰੈਫਿਕ | ਸੁਤੰਤਰ ਤੌਰ 'ਤੇ ਮੁੜ ਬਣਦੀ ਹੈ, ਅਕਸਰ ਵਧੇਰੇ ਵਾਰ |
ਉਨ੍ਹਾਂ ਨੂੰ ਵੱਖ ਰੱਖਣਾ ਦੋ ਅਜਿਹੇ ਵਿਵਹਾਰ ਸਮਝਾਉਂਦਾ ਹੈ ਜੋ ਬੱਗ ਵਰਗੇ ਲੱਗਦੇ ਹਨ। ਟਨਲ ਸਥਾਪਿਤ ਦਿਸ ਸਕਦਾ ਹੈ ਜਦੋਂ ਕਿ ਪਿਛੋਕੜ ਵਿੱਚ ਕੁੰਜੀ ਮੁੜ-ਬਣਾਉਣਾ ਅਸਫਲ ਹੋ ਰਿਹਾ ਹੋਵੇ, ਅਤੇ ਕਲਾਇੰਟ ਦਾ ਕਨੈਕਸ਼ਨ ਗੁਆਏ ਬਿਨਾਂ CHILD SA ਬਦਲਿਆ ਜਾ ਸਕਦਾ ਹੈ।
strongSwan 'ਤੇ, IKEv2 ਸੰਰਚਨਾ ਸੰਦਰਭ ਅਤੇ swanctl --list-sas ਦੋਵੇਂ ਪੱਧਰ ਦਿਖਾਉਂਦੇ ਹਨ, ਅਤੇ ip xfrm state ਨਾਲ ip xfrm policy ਦਿਖਾਉਂਦੇ ਹਨ ਕਿ ਕਰਨਲ ਨੇ ਅਸਲ ਵਿੱਚ ਕੀ ਲਗਾਇਆ। ਇਨ੍ਹਾਂ ਦੋਵੇਂ ਦ੍ਰਿਸ਼ਾਂ ਦੀ ਤੁਲਨਾ ਸਭ ਤੋਂ ਤੇਜ਼ ਤਰੀਕਾ ਹੈ ਇਹ ਵੇਖਣ ਦਾ ਕਿ ਗੱਲਬਾਤ ਪੂਰੀ ਹੋਈ ਜਾਂ ਸਿਰਫ਼ ਪੂਰੀ ਦਿਸੀ। ਜੇ ਡੀਮਨ ਉਸ CHILD SA ਦੀ ਸੂਚੀ ਦਿੰਦਾ ਹੈ ਜਿਸ ਲਈ ਕਰਨਲ ਕੋਲ ਕੋਈ ਸਥਿਤੀ ਨਹੀਂ, ਤਾਂ ਸਥਾਪਨਾ ਚੁੱਪਚਾਪ ਅਸਫਲ ਹੋਈ। ਜੇ ਕਰਨਲ ਕੋਲ ਅਜਿਹੀ ਸਥਿਤੀ ਹੈ ਜੋ ਡੀਮਨ ਨਹੀਂ ਜਾਣਦਾ, ਤੁਸੀਂ ਪਿਛਲੀ ਕੋਸ਼ਿਸ਼ ਦਾ ਬਚਿਆ ਹਿੱਸਾ ਵੇਖ ਰਹੇ ਹੋ।
ਟਨਲ ਉੱਠਣ ਤੋਂ ਬਾਅਦ ਵੀ ਕੀ ਸੱਚ ਰਹਿਣਾ ਚਾਹੀਦਾ ਹੈ
ਟ੍ਰੈਫਿਕ ਚੋਣਕਰਤਾ ਤੈਅ ਕਰਦੇ ਹਨ ਕਿ ਕਿਹੜੇ ਪਤੇ ਢੱਕੇ ਹਨ। ਜੇ ਕਲਾਇੰਟ ਇੱਕ ਸਬਨੈੱਟ ਪੇਸ਼ ਕਰਦਾ ਹੈ ਅਤੇ ਸਰਵਰ ਦੂਜਾ ਉਮੀਦ ਕਰਦਾ ਹੈ, CHILD SA ਲੱਗਦਾ ਹੈ ਪਰ ਕੁਝ ਵੀ ਲਾਭਦਾਇਕ ਨਹੀਂ ਲੈ ਜਾਂਦਾ, ਅਤੇ ਗਲਤੀ ਗੱਲਬਾਤ ਦੀ ਨਹੀਂ ਸਗੋਂ ਰੂਟਿੰਗ ਦੀ ਸਮੱਸਿਆ ਵਜੋਂ ਦਿਸਦੀ ਹੈ। ਫਿਰ ਸਥਾਨਕ ਸਟੈਕ ਨੂੰ ਸਹਿਯੋਗ ਕਰਨਾ ਪੈਂਦਾ ਹੈ: ਜਿੱਥੇ ਹੋਸਟ ਰੂਟ ਕਰਦਾ ਹੈ ਉੱਥੇ ਫਾਰਵਰਡਿੰਗ ਸਮਰੱਥ, ਟਨਲ ਵੱਲ ਰੂਟ, ਡੀਕੈਪਸੂਲੇਟ ਪੈਕਟਾਂ ਦੀ ਆਗਿਆ ਦੇਣ ਵਾਲੇ ਫਾਇਰਵਾਲ ਨਿਯਮ, ਅਤੇ ਪ੍ਰਾਈਵੇਟ ਨਾਮ ਸ਼ਾਮਲ ਹੋਣ 'ਤੇ ਅੰਦਰੂਨੀ ਰਿਜ਼ੋਲਵਰ। ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਹਰ ਇੱਕ ਵੱਖਰਾ ਅਸਫਲ ਹੁੰਦਾ ਹੈ ਅਤੇ IKE ਡੀਮਨ ਮੁੜ ਚਾਲੂ ਕਰਨ ਨਾਲ ਕੋਈ ਵੀ ਠੀਕ ਨਹੀਂ ਹੁੰਦਾ।
ਨਿਦਾਨ ਦੌਰਾਨ ਲੌਗ ਦਿਸਦਾ ਰੱਖੋ: ਸ਼ੁਰੂਆਤੀ ਅਦਲਾ-ਬਦਲੀ, ਫਿਰ ਪਛਾਣ ਜਾਂਚ, ਫਿਰ ਜਿੱਥੇ ਲਾਗੂ ਹੋਵੇ ਉਪਭੋਗਤਾ ਪ੍ਰਮਾਣਿਕਤਾ, ਫਿਰ CHILD ਸਥਾਪਨਾ ਅਤੇ ਅੰਤ ਵਿੱਚ ਐਪਲੀਕੇਸ਼ਨ ਟ੍ਰੈਫਿਕ। ਜੋ ਪੜਾਅ ਰੁਕਦਾ ਹੈ ਉਹੀ ਠੀਕ ਕਰਨ ਯੋਗ ਹੈ, ਅਤੇ ਬਾਅਦ ਦੀ ਰੂਟਿੰਗ ਅਸਫਲਤਾ ਪਹਿਲਾਂ ਪਾਸ ਹੋ ਚੁੱਕੀਆਂ ਪਛਾਣ ਜਾਂਚਾਂ ਨੂੰ ਢਿੱਲਾ ਕਰਨ ਦਾ ਕਾਰਨ ਕਦੇ ਨਹੀਂ ਹੈ।