IKE SA је успостављен, CHILD SA недостаје: где се подаци заустављају

Клијент каже да је аутентификација прошла, IKE статус изгледа здраво, а бројачи пакета остају на нули. Ова комбинација није противречност: IKEv2 држи контролну везу и везу података одвојено, и прва може да успе док друга никада не устане. Родитељ води преговоре; дете носи саобраћај. Прочитајте два слоја одвојено пре него што тунел назовете неисправним.

Шта раде два SA

IKE SA је контролна веза: аутентификује стране и носи размене које преговарају, замењују и уклањају заштиту. Никада не носи пакете ваше апликације. Зато здрав родитељ доказује само да два краја могу да се договоре о безбедносној политици, и ништа више.

CHILD SA је веза података, створена под родитељем, са селекторима саобраћаја и кључним материјалом за један заштићен скуп. Усмерена је, па статусни излаз наводи долазну и одлазну асоцијацију са одвојеним идентификаторима и обично одвојеним бројачима за сваки смер. Овај пар је разлог зашто један смер може да ради док други пада, и зашто фраза тунел је подигнут ништа не говори о саобраћају. Један родитељ може да држи и више деце, и тако једна ознака везе крије оно што вам треба.

Читајте уносе детета, не ознаку везе

Отворите статус родитеља и списак деце заједно и пронађите дете чији селектори одговарају току који проверавате. Забележите његове селекторе саобраћаја, договорене алгоритме, животни век и бројаче у оба смера. Ако има више деце, поредите по селекторима, а не по позицији, јер се позиција мења после обнове кључа. Запишите идентификаторе пре него што било шта промените.

Ако родитељ наведе други скуп саобраћаја од оног који проверавате, читате погрешно дете. То је проблем селектора, а не покварен тунел.

Забележите и временске ознаке. Обнова кључа може да замени један слој док други остаје успостављен, а дете које изгледа ново може бити замена за оно које сте посматрали. Упоредите идентификаторе пре него што закључите да је дете нестало.

Када детета уопште нема

Аутентификација може да успе док предлог података или селектори отказују, и родитељ остаје потпуно без детета. Уобичајен узрок је неслагање алгоритама или неслагање селектора саобраћаја, и обе стране бележе одбијени предлог. Читајте оба краја, јер страна до које стижете може да приказује само одбијање. Исправите неслагање уместо да рестартујете родитеља, јер то понавља исте неуспеле преговоре и додаје још један прекид доказима.

Родитељ који се стално изнова успоставља је друга врста квара од родитеља који остаје подигнут без детета. У другом случају логови именују одбијени предлог, па прикупите тај предлог са оба краја пре него што уредите политику.

Када дете постоји, али бројачи остају на нули

Пошаљите нови захтев који одговара селекторима детета. Захтев ка одредишту изван те политике неће померити његове бројаче, колико год успешно изгледао.

Проверите путању која треба да гурне ток у тунел, јер дете без саобраћаја је често дете ка коме се ништа не рутира. Бројачи који се крећу само у једном смеру указују на неслагање селектора или политике на повратном путу. Погледајте повратне селекторе удаљене стране пре него што дотакнете локалну. Нови захтев вам даје и временску ознаку за поређење са статусним излазом оба краја.

Именујте слој у извештају

Пријавите квар као три поља, а не као пресуду: слој који је отказао, размену или дете које сте прегледали и доказ који имате. Слој је један од три: родитељ никада није успостављен, преговори детета су одбијени, или дете постоји и саобраћај не стиже до њега. Доказ је идентификатор детета са његовим селекторима и бројачима, или одбијени предлог цитиран из оба лога. Свако ко то прочита може да оде право на размену која је важна, уместо да пита који VPN мислите.

документација strongSwan за IKEv2 показује како ти слојеви изгледају у статусном излазу. Приложите излаз детета које сте тестирали, а не само сажетак родитеља.