Vaša SA IKEv2 je hore, ale podriadená SA chýba: prečítajte si výmenu

IKE hovorí, že tunel je hore, podriadená SA chýba, a obe tvrdenia môžu platiť súčasne. Nadviazaný riadiaci vzťah nie je dátová asociácia a oba objekty majú oddelené životnosti, vyjednávania a režimy zlyhania. Nahlásiť prvý ako konektivitu je spôsob, akým tiket napokon tvrdí, že tunel je hore, zatiaľ čo nič nefunguje. Čítajte zoznam asociácií, nie súhrnnú značku spojenia, pretože tento zoznam je jediné miesto, kde je chýbajúci objekt viditeľný. Nasleduje poradie, v ktorom zoznam dáva zmysel.

Dve asociácie, dve úlohy

SA IKE nesie riadiaci kanál: identity, kľúče a návrhy pre samotnú riadiacu výmenu. Podriadená SA nesie ochranu ESP s vlastnými algoritmami a vlastnými selektormi prevádzky. Autentifikácia a vytvorenie podriadenej SA zvyčajne idú spolu, pretože prvá podriadená SA sa vyjednáva vnútri IKE_AUTH, a práve toto spojenie ľudí pri rozdelení prekvapí.

Vysvetľuje to aj dve podoby zlyhania, s ktorými sa stretnete. Podriadená SA odmietnutá počas úvodnej výmeny zvyčajne stiahne aj SA IKE, takže nevidíte žiadny nadviazaný riadiaci kanál. SA IKE stojaca sama častejšie znamená, že prvá podriadená SA uspela a neskorší pokus o vytvorenie podriadenej SA zlyhal, napríklad pri obnovení kľúčov. Časové značky tieto prípady oddeľujú rýchlejšie než akákoľvek kontrola konfigurácie.

Ktorá vrstva odmietla

Keď je podriadená SA odmietnutá, oznámenie pomenuje vrstvu. Odmietnutie návrhu znamená, že sa strany nedohodli na algoritmoch, často pretože jedna vyžaduje inú skupinu dokonalého utajenia dopredu alebo šifru, ktorú druhá neprijme. Odmietnutie selektora znamená, že množina prevádzky bola odmietnutá priamo, a to je argument pokrytia, nie kryptografický.

Niekedy je neprítomnosť podriadenej SA zámerom. SA IKE bez podriadenej SA je definované rozšírenie používané tam, kde sa dátová asociácia má vytvárať na požiadanie, takže neprítomnosť je správna a podriadená SA sa objaví, keď príde zodpovedajúca prevádzka. Poznámky strongSwan k IKEv2 pokrývajú aj štýl na požiadanie, aj nastavenia návrhu, ktoré rozhodujú o prvom prípade.

Pred diagnostikou poruchy skontrolujte konfiguráciu na požiadanie alebo pascu. Ak sa podriadené SA vytvárajú lenivo, neprítomnosť podriadenej SA v pokoji je očakávaný stav a skutočným testom je, či prevádzka nejakú zdvihne. Tento test oddeľuje aj lenivý návrh od tichého zlyhania, pretože neúspešné vytvorenie nechá spúšťač bez odpovede, nie len v pokoji.

Potom sa pýtajte na dátovú cestu

Keď podriadená SA existuje, počítadlá odpovedajú na ďalšiu otázku. ip -s xfrm state hlási počty paketov a bajtov na asociáciu a podriadená SA, ktorá nič nenesie, kým generujete prevádzku, ukazuje na párovanie alebo smerovanie, a nie na chýbajúcu asociáciu. swanctl --list-sas vypisuje selektory podriadenej SA vedľa týchto počítadiel, a to potvrdzuje, že paket leží v prijatej množine.

V správe držte oddelene úspešnú autentifikáciu a neúspešnú výmenu podriadenej SA. Správa, ktorá tvrdí, že autentifikácia zlyhala, pošle ďalšieho inžiniera do úložiska certifikátov, a presná veta je oveľa kratšia: SA IKE sa zdvihla a podriadená SA pre tento tok nebola nikdy prijatá.

Spojte oba konce

Pre server, ktorý spravujete sami, vezmite záznamy klienta a brány pre tú istú výmenu, namiesto porovnávania dvoch pokusov o opätovné pripojenie s hodinovým odstupom. Oznámenia by sa mali zhodovať na oboch stranách, a tam, kde sa nezhodujú, ste našli nesprávne nakonfigurovanú stranu.

Opravte vyjednávanie podriadenej SA a potom znova otestujte s prevádzkou vnútri zamýšľaného selektora. To je jediný test, ktorý dokazuje, že chýbajúci objekt je teraz prítomný, pretože zoznam asociácií obnovený v pokoji môže vyzerať rovnako pred opravou aj po nej.