IKE SA vzpostavljen, CHILD SA manjka: kje se podatki ustavijo

Odjemalec pravi, da je overitev uspela, stanje IKE je videti zdravo, števci paketov pa ostajajo na nič. Ta kombinacija ni protislovje: IKEv2 drži krmilno razmerje in podatkovno razmerje ločeno, in prvo lahko uspe, medtem ko drugo nikoli ne vstane. Nadrejeni vodi pogajanja; podrejeni nosi promet. Preberite obe plasti ločeno, preden tunel razglasite za pokvarjen.

Kaj delata oba SA

IKE SA je krmilno razmerje: overja strani in nosi izmenjave, ki se pogajajo, zamenjujejo in odstranjujejo zaščito. Nikoli ne nosi paketov vaše aplikacije. Zato zdrav nadrejeni dokaže le, da se oba konca lahko dogovorita o varnostni politiki, in nič več.

CHILD SA je podatkovno razmerje, ustvarjeno pod nadrejenim, s selektorji prometa in ključnim gradivom za eno zaščiteno množico. Je usmerjeno, zato izpis stanja našteje vhodno in izhodno povezavo z ločenimi identifikatorji in običajno ločenimi števci za vsako smer. Ta par je razlog, da ena smer lahko deluje, medtem ko druga pade, in da stavek tunel je vzpostavljen ne pove ničesar o prometu. En nadrejeni lahko drži tudi več podrejenih, in tako ena oznaka povezave skrije tisto, ki jo potrebujete.

Preberite vnose podrejenega, ne oznake povezave

Odprite stanje nadrejenega in seznam podrejenih skupaj ter poiščite podrejenega, katerega selektorji ustrezajo pretoku, ki ga preizkušate. Zabeležite njegove selektorje prometa, dogovorjene algoritme, življenjsko dobo in števce v obeh smereh. Če je podrejenih več, primerjajte po selektorjih in ne po položaju, ker se položaj po obnovitvi ključa spremeni. Zapišite identifikatorje, preden karkoli spremenite.

Če nadrejeni navaja drugo množico prometa od tiste, ki jo preizkušate, berete napačnega podrejenega. To je težava s selektorji, ne pokvarjen tunel.

Zapisujte tudi časovne žige. Obnovitev ključa lahko zamenja eno plast, medtem ko druga ostane vzpostavljena, in podrejeni, ki je videti nov, je lahko zamenjava za tistega, ki ste ga opazovali. Primerjajte identifikatorje, preden sklepate, da je podrejeni izginil.

Ko ni nobenega podrejenega

Overitev lahko uspe, medtem ko podatkovni predlog ali selektorji odpovedo, in nadrejeni ostane povsem brez podrejenega. Običajni vzrok je neujemanje algoritmov ali neujemanje selektorjev prometa, in obe strani zabeležita zavrnjeni predlog. Preberite oba konca, ker stran, do katere pridete, morda kaže le zavrnitev. Popravite neujemanje, namesto da znova zaženete nadrejenega, ker to ponovi isto neuspešno pogajanje in dokazilom doda še en izpad.

Nadrejeni, ki se nenehno znova vzpostavlja, je druga okvara kot nadrejeni, ki stoji brez podrejenega. V drugem primeru dnevniki poimenujejo zavrnjeni predlog, zato ta predlog zberite z obeh koncev, preden uredite politiko.

Ko podrejeni obstaja, a števci ostanejo na nič

Pošljite novo zahtevo, ki ustreza selektorjem podrejenega. Zahteva na cilj zunaj te politike ne bo premaknila njegovih števcev, ne glede na to, kako uspešna je videti.

Preverite pot, ki mora potisniti pretok v tunel, ker je podrejeni brez prometa pogosto podrejeni, v katerega ni usmerjeno nič. Števci, ki se premikajo le v eno smer, kažejo na neujemanje selektorjev ali politike na povratni poti. Poglejte povratne selektorje oddaljenega partnerja, preden se dotaknete lokalne strani. Nova zahteva vam da tudi časovni žig za primerjavo z izpisom stanja obeh koncev.

Poimenujte plast v poročilu

Okvaro sporočite kot tri polja, ne kot sodbo: plast, ki je odpovedala, izmenjavo ali podrejenega, ki ste ga pregledali, in dokaz, ki ga imate. Plast je ena od treh: nadrejeni se ni nikoli vzpostavil, pogajanje podrejenega je bilo zavrnjeno, ali podrejeni obstaja in promet do njega ne pride. Dokaz je identifikator podrejenega z njegovimi selektorji in števci ali zavrnjeni predlog, citiran iz obeh dnevnikov. Kdor to bere, lahko gre naravnost k izmenjavi, ki šteje, namesto da bi spraševal, kateri VPN mislite.

dokumentacija strongSwan za IKEv2 prikazuje, kako so te plasti videti v izpisu stanja. Priložite izpis podrejenega, ki ste ga preizkusili, ne le povzetka nadrejenega.