IKE SA e vendosur, CHILD SA mungon: ku ndalen të dhënat

Klienti thotë se është vërtetuar, statusi i IKE duket i shëndetshëm dhe numëruesit e paketave mbeten në zero. Ky kombinim nuk është kundërthënie: IKEv2 mban të ndara një marrëdhënie kontrolli dhe një marrëdhënie të dhënash, dhe e para mund të ketë sukses ndërsa e dyta nuk ngrihet kurrë. Prindi merret me negociatën; fëmija merret me trafikun. Lexoni dy shtresat veçmas përpara se ta shpallni tunelin të rrëzuar.

Çfarë bëjnë dy SA-të

IKE SA është marrëdhënia e kontrollit: vërteton palët dhe mban shkëmbimet që negociojnë, zëvendësojnë dhe heqin mbrojtjen. Nuk mban kurrë paketat e aplikacionit tuaj. Prandaj një prind i shëndetshëm provon vetëm se dy skajet mund të bien dakord për politikën e sigurisë, dhe asgjë më shumë.

Një CHILD SA është marrëdhënia e të dhënave, e krijuar nën prindin, me selektorë trafiku dhe material çelësi për një grup të mbrojtur. Është e drejtuar, kështu që dalja e statusit liston një asociacion hyrës dhe një dalës me identifikues të veçantë dhe zakonisht numërues të veçantë për secilin drejtim. Ky çift është arsyeja pse një drejtim mund të funksionojë ndërsa tjetri bie, dhe pse fraza tuneli është lart nuk thotë asgjë për trafikun. Një prind mund të mbajë edhe disa fëmijë, dhe kështu një etiketë e vetme lidhjeje fsheh atë që ju nevojitet.

Lexoni hyrjet e fëmijës, jo etiketën e lidhjes

Hapni së bashku statusin e prindit dhe listën e fëmijëve dhe gjeni fëmijën, selektorët e të cilit përputhen me rrjedhën që po provoni. Shënoni selektorët e trafikut, algoritmet e negociuara, jetëgjatësinë dhe numëruesit në të dy drejtimet. Nëse ka disa fëmijë, përputhni sipas selektorëve dhe jo sipas pozicionit, sepse pozicioni ndryshon pas një rinovimi çelësi. Shkruani identifikuesit përpara se të ndryshoni diçka.

Nëse prindi liston një grup trafiku tjetër nga ai që po provoni, po lexoni fëmijën e gabuar. Ky është problem selektorësh, jo tunel i prishur.

Regjistroni edhe vulat kohore. Një rinovim çelësi mund të zëvendësojë një shtresë ndërsa tjetra mbetet e vendosur, dhe një fëmijë që duket i ri mund të jetë zëvendësimi i atij që po vëzhgonit. Krahasoni identifikuesit përpara se të konkludoni se një fëmijë u zhduk.

Kur nuk ekziston asnjë fëmijë

Vërtetimi mund të ketë sukses ndërsa propozimi i të dhënave ose selektorët dështojnë, dhe prindi mbetet pa asnjë fëmijë. Shkaku i zakonshëm është një mospërputhje algoritmesh ose një mospërputhje e selektorëve të trafikut, dhe të dyja palët regjistrojnë propozimin e refuzuar. Lexoni të dy skajet, sepse ana ku arrini mund të tregojë vetëm refuzimin. Rregulloni mospërputhjen në vend që të rinisni prindin, i cili përsërit të njëjtën negociatë të dështuar dhe shton një ndërprerje tjetër në prova.

Një prind që rivendoset vazhdimisht është një defekt tjetër nga një prind që qëndron lart pa fëmijë. Në rastin e dytë regjistrat emërtojnë propozimin e refuzuar, prandaj mblidhni atë propozim nga të dy skajet përpara se të ndryshoni një politikë.

Kur fëmija ekziston, por numëruesit mbeten në zero

Dërgoni një kërkesë të re që përputhet me selektorët e fëmijës. Një kërkesë drejt një destinacioni jashtë asaj politike nuk do t'i lëvizë numëruesit, sado e suksesshme të duket.

Kontrolloni rrugën që duhet ta shtyjë rrjedhën në tunel, sepse një fëmijë pa trafik është shpesh një fëmijë drejt të cilit nuk rrugëtohet asgjë. Numëruesit që lëvizin vetëm në një drejtim tregojnë një mospërputhje selektorësh ose politike në rrugën e kthimit. Shikoni selektorët e kthimit të palës së largët përpara se të prekni anën lokale. Një kërkesë e re ju jep edhe një vulë kohore për ta krahasuar me daljen e statusit të të dy skajeve.

Emërtoni shtresën në raport

Raportojeni dështimin si tre fusha, jo si verdikt: shtresa që dështoi, shkëmbimi ose fëmija që inspektuat dhe prova që keni. Shtresa është një nga tre: prindi nuk u vendos kurrë, negociata e fëmijës u refuzua, ose ekziston një fëmijë dhe trafiku nuk arrin tek ai. Prova është identifikuesi i fëmijës me selektorët dhe numëruesit e tij, ose propozimi i refuzuar i cituar nga të dy regjistrat. Kushdo që e lexon këtë mund të shkojë drejt e te shkëmbimi që ka rëndësi, në vend që të pyesë për cilin VPN e keni fjalën.

dokumentacioni strongSwan për IKEv2 tregon si shfaqen ato shtresa në daljen e statusit. Bashkëngjitni daljen e fëmijës që provuat, jo vetëm përmbledhjen e prindit.