IKEv2 එක් හස්ත සංග්‍රහයක් නොවේ: IKE SA, සත්‍යාපනය, පසුව CHILD SA
ද්වාරයේ පිළිතුර ළඟාවීම පමණක් ඔප්පු කරයි, අනන්‍යතාව නොවේ. IKE_SA_INIT, IKE_AUTH සහ පළමු CHILD SA අනුගමනය කර, රථවාහන ගලා යාමට පෙර සත්‍ය විය යුත්තේ කුමක්දැයි පරීක්ෂා කරන්න.
IKEv2 සම්බන්ධතාවය ඔබේ රථවාහනය සංකේතනය වී අවසන් වන එක් හුවමාරුවක් යැයි ඔබ සිතනු ඇත. ඇත්තෙන්ම අවම වශයෙන් දෙකක් ඇති අතර, පළමුවැන්න කිසිවෙකු සත්‍යාපනය නොකරයි. දෙපාර්ශවය පාලන පණිවිඩවලින් ආරම්භ කර, සංකේතන පරාමිතීන්ට එකඟ වී, අනන්‍යතාව ඔප්පු කර, ඉන්පසුව පමණක් යෙදුම් පැකැට්ටු ගෙන යන තත්ත්වය සාකච්ඡා කරයි. එම අනුපිළිවෙල මගින් මිනිසුන් නිතර වාර්තා කරන නොගැලපීම පැහැදිලි කරයි: ද්වාරය පිළිතුරු දෙයි, සේවාලාභියා සම්බන්ධ යැයි පවසයි, නමුත් පෞද්ගලික යෙදුම තවමත් කාලය ඉක්මවයි. එක් එක් අදියර සැබවින්ම කරන්නේ කුමක්ද සහ ඉන් පසු සත්‍ය විය යුත්තේ කුමක්ද යන්න පහත දැක්වේ.
මිථ්‍යාව: ද්වාරය පිළිතුරු දුන්නොත් ඔබ සම්බන්ධයි
පළමු පණිවිඩයට පිළිතුර අන්ත ලක්ෂ්‍යය ළඟා කර ගත හැකි බවත් කථා කිරීමට සූදානම් බවත් ඔප්පු කරයි. ගිණුමක් පිළිගත් බව, සහතික දාමයක් වලංගු කළ බව හෝ කිසිදු දත්ත ප්‍රතිපත්තියක් ස්ථාපනය කළ බව එය ඔප්පු නොකරයි.
එම අසාර්ථකතා පසුව සිදු වන අතර වෙනස් රෝග ලක්ෂණ ලබා දෙයි. සහතික ප්‍රතික්ෂේපය හෝ EAP අසාර්ථකත්වය පළමු හුවමාරුව දැනටමත් සාර්ථක වූ පසුව පැමිණේ, එබැවින් UDP 500 වෙත ping සහ සේවාලාභියාගේ කොළ නිරූපකය කියන්නේ ඉතා අල්පයකි.
IKE_SA_INIT: පරාමිතීන්ට එකඟ වන්න, අනන්‍යතාවට නොවේ
පළමු හුවමාරුව IKE ආරක්ෂක සංගමය සඳහා යෝජනා ගෙන යයි: සංකේතන සහ අඛණ්ඩතා ඇල්ගොරිතම, ව්‍යාජ අහඹු ශ්‍රිතයක් සහ Diffie-Hellman කණ්ඩායමක්. දෙපාර්ශවය nonce ද හුවමාරු කරයි, සහ සෑම පැත්තක්ම එම අගයන් නිපදවන හවුල් රහසින් IKE SA සඳහා යතුරු ද්‍රව්‍ය ලබා ගනී. මෙම හුවමාරුවේ කිසිවක් අනෙක් පාර්ශවය කවුද යන්න තහවුරු නොකරයි. එය තහවුරු කරන්නේ දෙපැත්තටම එකම යතුරු ගණනය කළ හැකි බවත් එක් යෝජනාවකට එකඟ බවත් පමණි. කිසිදු යෝජනාවක් නොකැමති ප්‍රතිචාරකයා මෙහි හුවමාරුව ප්‍රතික්ෂේප කරයි, එබැවින් අනුවාදයේ හෝ ඇල්ගොරිතමයේ නොගැලපීම සේවාදායකය වැටී ඇති ලෙස පෙනේ.
මෙම අවස්ථාවේ නිර්මාණය වන IKE SA පසුව එන සියලුම කළමනාකරණ හුවමාරු ආරක්ෂා කරයි. එය එහි කාර්යයයි, සහ එය ඔබේ පැකැට්ටු ආරක්ෂා කිරීමෙන් වෙනස් කාර්යයකි.
IKE_AUTH: අනන්‍යතාව ඔප්පු කර පළමු CHILD SA ගොඩනඟන්න
දෙවන හුවමාරුව අනන්‍යතාව ගෙන යයි. සහතික සමඟ, සෑම පාර්ශවයක්ම තම පෞද්ගලික යතුරෙන් අත්සන් කර අනෙක් පාර්ශවය වලංගු කළ යුතු දාමයක් ඉදිරිපත් කරයි; EAP සමඟ, ප්‍රතිචාරකයා තෝරාගත් ක්‍රමය හරහා ආරම්භකයාට අභියෝග කරයි. වැරදි සේවාදායක නාමය, කල් ඉකුත් වූ සහතිකය හෝ ප්‍රතික්ෂේප වූ මුරපදය අවසානයේ මෙහි මතු වේ.
සාමාන්‍ය අවස්ථාවේදී IKE_AUTH පළමු CHILD SA ද සාකච්ඡා කරයි, එබැවින් දත්ත ආරක්ෂණය එකම ගමනේදී එකඟ වේ. ආරම්භකයා රථවාහන තෝරක යෝජනා කරයි, ප්‍රතිචාරකයා ඒවා පටු කරයි හෝ ප්‍රතික්ෂේප කරයි, දත්ත මාර්ගයේ යතුරු IKE SA වෙතින් ලබා ගනී. එයින් අදහස් වන්නේ එක් හුවමාරුවක් ඉතා වෙනස් තැන් දෙකක අසාර්ථක විය හැකි බවයි: අනන්‍යතාව හෝ ප්‍රතිපත්තිය. සාමාන්‍ය හස්ත සංග්‍රහ අසාර්ථකත්වය වෙනුවට දැනුම්දීමේ පේලෝඩය හෝ දෝෂය කියවන්න, මන්ද එකකට ප්‍රතිකර්මය සහතිකයක් වන අතර අනෙකට උපජාල නොගැලපීමකි.
SA දෙකක්, කාර්යයන් දෙකක්
| සංගමය | ආරක්ෂා කරයි | ආයුෂ හැසිරීම |
|---|---|---|
| IKE SA | කළමනාකරණ හුවමාරු: යතුරු නැවත සෑදීම, මැකීම, වින්‍යාස පේලෝඩ | තමන්ගේම කාලසටහන අනුව නැවත සැකසේ; දත්ත මාර්ගය වෙනසට ඔරොත්තු දිය හැක |
| CHILD SA | රථවාහන තෝරකවලට ගැලපෙන යෙදුම් රථවාහනය | ස්වාධීනව නැවත සැකසේ, බොහෝ විට වැඩි වාර ගණනක් |
ඒවා වෙන් කර තැබීම දෝෂ ලෙස පෙනෙන හැසිරීම් දෙකක් පැහැදිලි කරයි. ටනලය ස්ථාපිත ලෙස පෙනෙන අතර පසුබිමෙහි යතුරු නැවත සෑදීම අසාර්ථක විය හැක, සහ සේවාලාභියා සම්බන්ධතාව නොදැන CHILD SA ප්‍රතිස්ථාපනය කළ හැක.
strongSwan හි, IKEv2 වින්‍යාස සමුද්‍රේශය සහ swanctl --list-sas මට්ටම් දෙකම පෙන්වයි, සහ ip xfrm state සමඟ ip xfrm policy කර්නලය සැබවින්ම ස්ථාපනය කළ දේ පෙන්වයි. මෙම දර්ශන දෙක සංසන්දනය කිරීම සාකච්ඡාව අවසන් වුණාද නැතහොත් අවසන් ලෙස පෙනුණාද යන්න දැන ගැනීමට වේගවත්ම මාර්ගයයි. ඩීමන් කර්නලයේ තත්ත්වයක් නොමැති CHILD SA එකක් ලැයිස්තුගත කරන්නේ නම්, ස්ථාපනය නිහඬව අසාර්ථක විය. කර්නලය ඩීමන් නොදන්නා තත්ත්වයක් රඳවා ගන්නේ නම්, ඔබ පෙර උත්සාහයක අවශේෂයක් දකිමින් සිටී.
ටනලය ඉහළ ගිය පසුවත් සත්‍ය විය යුත්තේ කුමක්ද
රථවාහන තෝරක තීරණය කරන්නේ කුමන ලිපින ආවරණය වේද යන්නයි. සේවාලාභියා එක් උපජාලයක් යෝජනා කර සේවාදායකයා තවත් එකක් බලාපොරොත්තු වන්නේ නම්, CHILD SA ස්ථාපනය වේ නමුත් ප්‍රයෝජනවත් කිසිවක් ගෙන යන්නේ නැත, සහ දෝෂය සාකච්ඡා ගැටලුවක් ලෙස නොව මාර්ග ගැටලුවක් ලෙස දිස් වේ. ඉන්පසු දේශීය තට්ටුව සහයෝගය දිය යුතුය: සත්කාරකයා මාර්ග කරන තැන යැවීම සක්‍රීය, ටනලය දෙසට මාර්ග, විසංකේතිත පැකැට්ටුවලට ඉඩ දෙන ගිනිපවුරු නීති, සහ පෞද්ගලික නාම සම්බන්ධ නම් අභ්‍යන්තර විසඳුම්කරුවෙක්. ඒවායින් එක් එක් දෙය වෙන වෙනම අසාර්ථක වන අතර IKE ඩීමන් නැවත ආරම්භ කිරීමෙන් කිසිවක් සකස් නොවේ.
රෝග විනිශ්චය කරන අතරතුර ලොගය දෘශ්‍යව තබා ගන්න: ආරම්භක හුවමාරුව, පසුව අනන්‍යතා සත්‍යාපනය, පසුව අදාළ වන තැන පරිශීලක සත්‍යාපනය, පසුව CHILD ස්ථාපනය සහ අවසානයේ යෙදුම් රථවාහනය. නතර වන අදියර නිවැරදි කළ යුතු අදියර වන අතර, පසුව සිදු වන මාර්ග අසාර්ථකත්වය දැනටමත් සමත් වූ අනන්‍යතා පරීක්ෂණ ලිහිල් කිරීමට කිසි විටෙකත් හේතුවක් නොවේ.