Vaš SA IKEv2 je vzpostavljen, a podrejene SA ni: preberite izmenjavo

IKE pravi, da je tunel vzpostavljen, da podrejene SA ni, in obe trditvi sta lahko resnični hkrati. Vzpostavljeno razmerje nadzora ni podatkovna povezava, in oba predmeta imata ločene življenjske dobe, pogajanja in načine odpovedi. Prvo sporočiti kot povezljivost je pot, po kateri zahtevek na koncu trdi, da je tunel vzpostavljen, medtem ko nič ne deluje. Berite seznam povezav, ne povzetka oznake povezave, ker je ta seznam edino mesto, kjer je manjkajoči predmet viden. Sledi vrstni red, v katerem seznam dobi smisel.

Dve povezavi, dve nalogi

SA IKE nosi nadzorni kanal: identitete, ključe in predloge za samo nadzorno izmenjavo. Podrejena SA nosi zaščito ESP z lastnimi algoritmi in lastnimi izbirniki prometa. Preverjanje pristnosti in ustvarjanje podrejene SA običajno gresta skupaj, ker se prva podrejena SA pogaja znotraj IKE_AUTH, in prav to združevanje ljudi preseneti pri ločevanju.

To pojasni tudi dve obliki odpovedi, na kateri boste naleteli. Podrejena SA, zavrnjena med začetno izmenjavo, običajno potegne s seboj tudi SA IKE, tako da ne vidite nobenega vzpostavljenega nadzornega kanala. SA IKE, ki stoji sama, pogosteje pomeni, da je prva podrejena SA uspela in da poznejši poskus ustvarjanja podrejene SA ni uspel, na primer med obnovitvijo ključev. Časovni žigi te primere ločijo hitreje kot kateri koli pregled konfiguracije.

Katera plast je zavrnila

Ko je podrejena SA zavrnjena, obvestilo poimenuje plast. Zavrnitev predloga pomeni, da se strani nista mogli dogovoriti o algoritmih, pogosto zato, ker ena zahteva drugo skupino popolne vnaprejšnje tajnosti ali šifro, ki je druga ne bo sprejela. Zavrnitev izbirnika pomeni, da je bil nabor prometa zavrnjen neposredno, in to je argument pokritosti, ne kriptografski.

Včasih je odsotnost podrejene SA prav načrt. SA IKE brez podrejene SA je definirana razširitev, ki se uporablja tam, kjer je treba podatkovno povezavo ustvariti na zahtevo, zato je odsotnost pravilna in podrejena SA se pojavi, ko prispe ustrezen promet. Zapiski strongSwan o IKEv2 pokrivajo tako slog na zahtevo kot nastavitve predloga, ki odločijo o prvem primeru.

Pred diagnosticiranjem napake preverite, ali obstaja konfiguracija na zahtevo ali past. Če se podrejene SA ustvarjajo lenobno, je odsotnost podrejene SA v mirovanju pričakovano stanje, in pravi preizkus je, ali promet eno dvigne. Ta preizkus loči tudi lenoben načrt od tihe odpovedi, ker neuspešno ustvarjanje pusti sprožilec brez odgovora, ne le v mirovanju.

Nato vprašajte o podatkovni poti

Ko podrejena SA obstaja, na naslednje vprašanje odgovorijo števci. ip -s xfrm state poroča o številu paketov in bajtov na povezavo, in podrejena SA, ki nič ne nosi, medtem ko ustvarjate promet, kaže na ujemanje ali usmerjanje, ne na manjkajočo povezavo. swanctl --list-sas izpiše izbirnike podrejene SA ob teh števcih, in prav to potrjuje, da je paket znotraj sprejetega nabora.

V poročilu imejte ločeno uspešno preverjanje pristnosti in neuspešno izmenjavo podrejene SA. Poročilo, ki pravi, da preverjanje pristnosti ni uspelo, pošlje naslednjega inženirja v shrambo potrdil, natančen stavek pa je veliko krajši: SA IKE se je dvignil, podrejena SA za ta tok pa ni bila nikoli sprejeta.

Povežite oba konca

Za strežnik, ki ga upravljate sami, vzemite dnevnike odjemalca in prehoda za isto izmenjavo, namesto da primerjate dva poskusa ponovne povezave z enourno razliko. Obvestila bi se morala ujemati na obeh straneh, in kjer se ne ujemajo, ste našli napačno konfigurirano stran.

Popravite pogajanje podrejene SA, nato znova preizkusite s prometom znotraj predvidenega izbirnika. To je edini preizkus, ki dokaže, da je manjkajoči predmet zdaj prisoten, ker je lahko seznam povezav, osvežen v mirovanju, videti enak pred popravkom in po njem.