Ваш IKEv2 SA је подигнут, али нема подређеног SA: прочитајте размену

IKE каже да је тунел подигнут, подређени SA недостаје, и обе тврдње могу бити тачне истовремено. Успостављени контролни однос није асоцијација података, и два објекта имају одвојене животне векове, преговоре и режиме отказа. Пријављивање првог као повезаности је пут на ком тикет на крају тврди да је тунел подигнут, а ништа не ради. Читајте листу асоцијација, а не резиме ознаке везе, јер је та листа једино место где се објекат који недостаје види. Следи редослед у ком листа добија смисао.

Две асоцијације, два посла

SA IKE носи контролни канал: идентитете, кључеве и предлоге за саму контролну размену. Подређени SA носи ESP заштиту, са сопственим алгоритмима и сопственим селекторима саобраћаја. Аутентификација и стварање подређеног SA обично иду заједно, јер се први подређени SA преговара унутар IKE_AUTH, и управо то спајање изненађује људе раздвајањем.

То објашњава и два облика отказа на која ћете наићи. Подређени SA одбијен током почетне размене обично повуче и SA IKE надоле, тако да уопште не видите успостављен контролни канал. SA IKE који стоји сам чешће значи да је први подређени SA успео, а каснији покушај стварања подређеног SA није, на пример током обнове кључева. Временске ознаке раздвајају те случајеве брже од било ког прегледа конфигурације.

Који слој је одбио

Када се подређени SA одбије, обавештење именује слој. Одбијање предлога значи да стране нису могле да се договоре о алгоритмима, често зато што једна захтева другу групу савршене унапред тајности или шифру коју друга неће прихватити. Одбијање селектора значи да је скуп саобраћаја одбијен директно, и то је аргумент покривености, не криптографски.

Понекад је одсуство подређеног SA сам дизајн. SA IKE без подређеног SA је дефинисано проширење које се користи тамо где асоцијацију података треба стварати на захтев, па је одсуство исправно и подређени SA се појављује када стигне одговарајући саобраћај. Белешке strongSwan о IKEv2 покривају и стил на захтев и подешавања предлога која одлучују о првом случају.

Пре дијагностике квара проверите да ли постоји конфигурација на захтев или замка. Ако се подређени SA стварају лењо, одсуство подређеног SA у мировању је очекивано стање, а прави тест је да ли саобраћај подиже један. Тај тест одваја и лењ дизајн од тихог отказа, јер неуспело стварање оставља окидач без одговора, а не само у мировању.

Затим питајте о путу података

Када подређени SA постоји, на следеће питање одговарају бројачи. ip -s xfrm state пријављује број пакета и бајтова по асоцијацији, и подређени SA који ништа не носи док генеришете саобраћај указује на подударање или рутирање не ка асоцијацији која недостаје. swanctl --list-sas исписује селекторе подређеног SA поред тих бројача, и то потврђује да пакет лежи унутар прихваћеног скупа.

У извештају држите одвојено успешну аутентификацију и неуспелу размену подређеног SA. Извештај који каже да аутентификација није успела шаље следећег инжењера у складиште сертификата, а тачна реченица је много краћа: SA IKE се подигао, а подређени SA за овај ток никада није прихваћен.

Повежите два краја

За сервер који сами водите, узмите дневнике клијента и пролаза за исту размену, уместо да поредите два покушаја поновног повезивања са сат времена разлике. Обавештења би требало да се поклопе на обе стране, а тамо где се не поклапају, пронашли сте погрешно конфигурисану страну.

Исправите преговоре подређеног SA, затим поново тестирајте са саобраћајем унутар жељеног селектора. То је једини тест који доказује да је објекат који недостаје сада присутан, јер листа асоцијација освежена у мировању може изгледати исто пре и после исправке.