SA IKEv2 juaj është lart, por nuk ka SA fëmijë: lexoni shkëmbimin

IKE thotë se tuneli është lart, SA fëmijë mungon, dhe të dyja pohimet mund të jenë të vërteta njëkohësisht. Një marrëdhënie kontrolli e vendosur nuk është shoqatë e të dhënave, dhe të dy objektet kanë jetëgjatësi, negociime dhe mënyra dështimi të ndara. Raportimi i të parit si lidhshmëri është rruga me të cilën një biletë përfundon duke pohuar se tuneli është lart ndërsa asgjë nuk funksionon. Lexoni listën e shoqatave, jo etiketën përmbledhëse të lidhjes, sepse ajo listë është vendi i vetëm ku objekti që mungon është i dukshëm. Në vijim është rendi në të cilin lista ka kuptim.

Dy shoqata, dy punë

Një SA IKE mbart kanalin e kontrollit: identitete, çelësa dhe propozimet për vetë shkëmbimin e kontrollit. Një SA fëmijë mbart mbrojtjen ESP, me algoritmet e veta dhe përzgjedhësit e vetë të trafikut. Vërtetimi dhe krijimi i SA fëmijë zakonisht shkojnë bashkë, sepse SA fëmija i parë negociohet brenda IKE_AUTH, dhe pikërisht ky bashkim i befason njerëzit me ndarjen.

Kjo shpjegon gjithashtu dy format e dështimit që do të takoni. Një SA fëmijë i refuzuar gjatë shkëmbimit fillestar zakonisht e tërheq poshtë edhe SA IKE, kështu që nuk shihni fare kanal kontrolli të vendosur. Një SA IKE që qëndron vetëm shpesh do të thotë se SA fëmija i parë pati sukses dhe se një përpjekje e mëvonshme për të krijuar SA fëmijë dështoi, për shembull gjatë rinovimit të çelësave. Vulat kohore i ndajnë ato raste më shpejt se çdo rishikim konfigurimi.

Cila shtresë refuzoi

Kur refuzohet një SA fëmijë, njoftimi emërton shtresën. Refuzimi i propozimit do të thotë se palët nuk mundën të bien dakord për algoritmet, shpesh sepse njëra kërkon një grup tjetër të fshehtësisë së përsosur përpara ose një shifër që tjetra nuk do ta pranojë. Refuzimi i përzgjedhësit do të thotë se grupi i trafikut u refuzua drejtpërdrejt, dhe ky është argument mbulimi, jo kriptografik.

Ndonjëherë mungesa e SA fëmijë është vetë dizajni. Një SA IKE pa SA fëmijë është një zgjerim i përcaktuar që përdoret aty ku shoqata e të dhënave duhet të krijohet sipas kërkesës, prandaj mungesa është e saktë dhe SA fëmijë shfaqet kur mbërrin trafik përputhës. Shënimet e strongSwan për IKEv2 mbulojnë si stilin sipas kërkesës ashtu edhe cilësimet e propozimit që vendosin rastin e parë.

Kontrolloni për një konfigurim sipas kërkesës ose kurth përpara se të diagnostikoni një defekt. Nëse SA fëmijë krijohen përtacisht, mungesa e SA fëmijë në qetësi është gjendja e pritur, dhe testi i vërtetë është nëse trafiku ngre një. Ky test ndan gjithashtu një dizajn përtac nga një dështim i heshtur, sepse krijimi i dështuar e lë nxitësin pa përgjigje dhe jo thjesht në qetësi.

Pastaj pyesni për rrugën e të dhënave

Pasi ekziston një SA fëmijë, numëruesit përgjigjen pyetjes tjetër. ip -s xfrm state raporton numrin e paketave dhe bajteve për shoqatë, dhe një SA fëmijë që nuk mbart asgjë ndërsa gjeneroni trafik tregon përputhje ose rrugëtim jo drejt një shoqate që mungon. swanctl --list-sas shtyp përzgjedhësit e SA fëmijë pranë atyre numëruesve, dhe pikërisht kjo konfirmon se paketa ndodhet brenda grupit të pranuar.

Mbani të ndara në raport vërtetimin e suksesshëm dhe shkëmbimin e dështuar të SA fëmijë. Një raport që thotë se vërtetimi dështoi e dërgon inxhinierin tjetër në depon e certifikatave, dhe fjalia e saktë është shumë më e shkurtër: SA IKE u ngrit, dhe SA fëmija për këtë rrjedhë nuk u pranua kurrë.

Ndërlidhni dy skajet

Për një server që e drejtoni vetë, merrni regjistrat e klientit dhe të portës për të njëjtin shkëmbim në vend që të krahasoni dy përpjekje rilidhjeje me një orë largësi. Njoftimet duhet të përputhen në të dyja anët, dhe aty ku nuk përputhen keni gjetur anën e konfiguruar gabimisht.

Rregulloni negociimin e SA fëmijë, pastaj ritestoni me trafik brenda përzgjedhësit të synuar. Ky është testi i vetëm që provon se objekti që mungonte tani është i pranishëm, sepse një listë shoqatash e rifreskuar në qetësi mund të duket identike para dhe pas rregullimit.