IKE SA je vytvorená, CHILD SA chýba: kde sa dáta zastavia

Klient tvrdí, že overenie prebehlo, stav IKE vyzerá zdravo a počítadlá paketov zostávajú na nule. Táto kombinácia nie je protirečenie: IKEv2 drží riadiaci vzťah a dátový vzťah oddelene, a prvý môže uspieť, kým druhý nikdy nevznikne. Rodič vedie rokovanie; dieťa nesie prevádzku. Prečítajte si obe vrstvy oddelene, než tunel označíte za spadnutý.

Čo robia obe SA

IKE SA je riadiaci vzťah: overuje strany a nesie výmeny, ktoré dohadujú, nahrádzajú a odstraňujú ochranu. Nikdy nenesie pakety vašej aplikácie. Zdravý rodič teda dokazuje len to, že oba konce sa vedia dohodnúť na bezpečnostnej politike, a nič viac.

CHILD SA je dátový vzťah, vytvorený pod rodičom, so selektormi prevádzky a kľúčovým materiálom pre jednu chránenú množinu. Je smerový, takže výstup stavu uvádza prichádzajúcu a odchádzajúcu asociáciu s oddelenými identifikátormi a zvyčajne oddelenými počítadlami pre každý smer. Táto dvojica je dôvod, prečo jeden smer funguje, kým druhý padá, a prečo veta tunel je hore nehovorí nič o prevádzke. Jeden rodič môže držať aj viac detí, a tak jedna etiketa spojenia skrýva to, ktoré potrebujete.

Čítajte položky dieťaťa, nie etiketu spojenia

Otvorte stav rodiča a zoznam detí spolu a nájdite dieťa, ktorého selektory zodpovedajú testovanému toku. Poznačte si jeho selektory prevádzky, dohodnuté algoritmy, životnosť a počítadlá v oboch smeroch. Ak existuje viac detí, porovnávajte podľa selektorov, nie podľa pozície, pretože pozícia sa po obnovení kľúča mení. Zapíšte si identifikátory, skôr než čokoľvek zmeníte.

Ak rodič uvádza inú množinu prevádzky, než akú testujete, čítate nesprávne dieťa. To je problém selektorov, nie pokazený tunel.

Zaznamenávajte aj časové značky. Obnovenie kľúča môže nahradiť jednu vrstvu, kým druhá zostáva vytvorená, a dieťa, ktoré vyzerá novo, môže byť náhradou toho, ktoré ste sledovali. Porovnajte identifikátory, skôr než usúdite, že dieťa zmizlo.

Keď neexistuje žiadne dieťa

Overenie môže uspieť, kým dátový návrh alebo selektory zlyhajú, a rodič zostane úplne bez dieťaťa. Zvyčajnou príčinou je nezhoda algoritmov alebo nezhoda selektorov prevádzky a obe strany zaznamenajú odmietnutý návrh. Čítajte oba konce, pretože strana, ku ktorej sa dostanete, môže ukazovať iba odmietnutie. Opravte nezhodu namiesto reštartu rodiča, ktorý zopakuje to isté neúspešné rokovanie a pridá k dôkazom ďalší výpadok.

Rodič, ktorý sa stále znovu vytvára, je iná porucha než rodič, ktorý stojí bez dieťaťa. V druhom prípade logy pomenujú odmietnutý návrh, takže tento návrh zozbierajte z oboch koncov, skôr než upravíte politiku.

Keď dieťa existuje, ale počítadlá zostávajú na nule

Pošlite novú požiadavku, ktorá zodpovedá selektorom dieťaťa. Požiadavka na cieľ mimo tejto politiky nepohne jeho počítadlami, nech vyzerá akokoľvek úspešne.

Skontrolujte trasu, ktorá má vtlačiť tok do tunela, pretože dieťa bez prevádzky je často dieťa, ku ktorému sa nič nesmeruje. Počítadlá, ktoré sa hýbu len jedným smerom, ukazujú na nezhodu selektorov alebo politiky na spiatočnej ceste. Pozrite sa na spiatočné selektory vzdialeného partnera, skôr než sa dotknete lokálnej strany. Nová požiadavka vám dá aj časovú značku na porovnanie s výstupom stavu oboch koncov.

Pomenujte vrstvu v správe

Nahláste poruchu ako tri polia, nie ako verdikt: vrstvu, ktorá zlyhala, výmenu alebo dieťa, ktoré ste skontrolovali, a dôkaz, ktorý máte. Vrstva je jedna z troch: rodič sa nikdy nevytvoril, rokovanie dieťaťa bolo odmietnuté, alebo dieťa existuje a prevádzka sa k nemu nedostane. Dôkazom je identifikátor dieťaťa s jeho selektormi a počítadlami, alebo odmietnutý návrh citovaný z oboch logov. Ktokoľvek to číta, môže ísť priamo k výmene, na ktorej záleží, namiesto toho, aby sa pýtal, ktorý VPN máte na mysli.

dokumentácia strongSwan k IKEv2 ukazuje, ako tieto vrstvy vyzerajú vo výstupe stavu. Priložte výstup dieťaťa, ktoré ste testovali, nielen zhrnutie rodiča.