IKE-SA uspostavljena, CHILD-SA nedostaje: gdje se podaci zaustavljaju

Klijent kaže da se autentificirao, IKE status izgleda zdravo, a brojači paketa ostaju na nuli. Ta kombinacija nije proturječje: IKEv2 drži kontrolni odnos i podatkovni odnos odvojeno, i prvi može uspjeti dok se drugi nikad ne podigne. Roditelj vodi pregovore, dijete vodi promet. Čitajte dva sloja odvojeno prije nego tunel proglasite palim.

Šta rade dvije SA

IKE-SA je kontrolni odnos: autentificira partnere i nosi razmjene koje pregovaraju, zamjenjuju i uklanjaju zaštitu. Nikada ne nosi pakete vaših aplikacija. Zato zdrav roditelj dokazuje samo da se dvije strane mogu dogovoriti o sigurnosnoj politici, i ništa više.

CHILD-SA je podatkovni odnos, stvoren pod roditeljem, s prometnim selektorima i ključnim materijalom za jedan zaštićeni skup. Usmjeren je, pa izlaz statusa navodi ulaznu i izlaznu asocijaciju s odvojenim identifikatorima i obično odvojenim brojačima za svaki smjer. Upravo to uparivanje objašnjava zašto jedan smjer radi dok drugi pada, i zašto fraza tunel je podignut ne govori ništa o prometu. Jedan roditelj može držati i nekoliko djece, i tako jedna oznaka veze skriva onu koja vam treba.

Čitajte unose djece, ne oznaku veze

Otvorite status roditelja i listu djece zajedno i nađite dijete čiji selektori odgovaraju toku koji testirate. Zapišite njegove prometne selektore, dogovorene algoritme, vrijeme trajanja i brojače u oba smjera. Ako postoji više djece, uparujte po selektorima, a ne po položaju, jer se položaj mijenja nakon obnove ključeva. Zapišite identifikatore prije nego što bilo šta promijenite.

Ako roditelj navodi drugi prometni skup od onoga koji testirate, čitate pogrešno dijete. To je problem selektora, a ne pokvaren tunel.

Bilježite i vremenske oznake. Obnova ključeva može zamijeniti jedan sloj dok drugi ostaje uspostavljen, a dijete koje izgleda novo može biti zamjena za ono koje ste posmatrali. Uporedite identifikatore prije nego zaključite da je dijete nestalo.

Kada djeteta nema

Autentifikacija može uspjeti dok podatkovni prijedlog ili selektori ne uspiju, pa roditelj ostane bez ijednog djeteta. Uobičajen uzrok je nesklad algoritma ili nesklad prometnih selektora, a oba partnera bilježe odbijeni prijedlog. Čitajte oba kraja, jer strana do koje doprete može prikazivati samo odbijanje. Ispravite nesklad umjesto da restartujete roditelja, jer to ponavlja isti neuspjeli pregovor i dodaje prekid dokazima.

Roditelj koji se stalno ponovo uspostavlja drugačiji je kvar od roditelja koji stoji bez djeteta. U drugom slučaju logovi imenuju odbijeni prijedlog, pa prikupite taj prijedlog s oba kraja prije nego uredite politiku.

Kada dijete postoji, ali brojači stoje na nuli

Pošaljite novi zahtjev koji odgovara selektorima djeteta. Zahtjev prema odredištu izvan te politike neće pomjeriti njegove brojače, koliko god uspješno izgledao.

Provjerite rutu koja treba gurnuti tok u tunel, jer dijete bez prometa često je dijete prema kojem se ništa ne rutira. Brojači koji se pomjeraju samo u jednom smjeru ukazuju na nesklad selektora ili politike na povratnom putu. Pogledajte povratne selektore udaljenog partnera prije nego dirnete lokalnu stranu. Novi zahtjev vam daje i vremensku oznaku za poređenje s izlazom statusa oba kraja.

Imenujte sloj u izvještaju

Prijavite kvar kao tri polja, a ne kao presudu: sloj koji je otkazao, razmjenu ili dijete koje ste pregledali, i dokaze koje imate. Sloj je jedan od tri: roditelj se nikad nije uspostavio, pregovor djeteta je odbijen, ili dijete postoji i promet do njega ne stiže. Dokaz je identifikator djeteta s njegovim selektorima i brojačima, ili odbijeni prijedlog citiran iz oba loga. Svako ko to pročita može odmah otići do razmjene koja je važna umjesto da pita na koji VPN mislite.

Dokumentacija strongSwan za IKEv2 pokazuje kako se ti slojevi pojavljuju u izlazu statusa. Priložite izlaz djeteta koje ste testirali, a ne samo sažetak roditelja.