IKEv2 si mazungumzo moja: IKE SA, uthibitishaji, kisha CHILD SA
Jibu la lango linathibitisha ufikivu, si utambulisho. Fuata IKE_SA_INIT, IKE_AUTH na CHILD SA ya kwanza, kisha angalia nini lazima kiwe kweli kabla trafiki kupita.
Huenda ukafikiri muunganisho wa IKEv2 ni mazungumzo moja yanayokamilika kwa trafiki yako kusimbwa. Ni mawili angalau, na la kwanza halimthibitishi mtu yeyote. Pande zote huanza na jumbe za udhibiti, hukubaliana kuhusu vigezo vya kriptografia, huthibitisha utambulisho, na ndipo tu hujadili hali inayobeba pakiti za programu. Mpangilio huo unaeleza tofauti ambayo watu huripoti kila mara: lango linajibu, mteja anasema ameunganishwa, lakini programu ya faragha bado inaisha muda. Hapa ni kile kila hatua hufanya kwa kweli, na kile lazima kiwe kweli baada yake.
Hadithi potofu: lango likijibu, umeunganishwa
Jibu la ujumbe wa kwanza linathibitisha kuwa kituo cha mwisho kinafikiwa na kiko tayari kuzungumza. Halithibitishi kuwa akaunti ilikubaliwa, mnyororo wa vyeti ulithibitishwa, au sera yoyote ya data iliwekwa.
Hitilafu hizo hutokea baadaye, na hutoa dalili tofauti. Kukataliwa kwa cheti au hitilafu ya EAP huja baada ya mazungumzo ya kwanza kufanikiwa, ndiyo sababu ping kwa UDP 500 na aikoni ya kijani kwenye mteja husema kidogo sana.
IKE_SA_INIT: kubaliana kuhusu vigezo, si utambulisho
Mazungumzo ya kwanza hubeba mapendekezo ya muungano wa usalama wa IKE: algoriti za usimbaji na uadilifu, kitendakazi cha bahati nasibu bandia, na kikundi cha Diffie-Hellman. Pande pia hubadilishana nonce, na kila upande hupata nyenzo za ufunguo wa IKE SA kutoka siri ya pamoja inayozalishwa na thamani hizo. Hakuna chochote katika mazungumzo haya kinachobainisha yeyote yule upande mwingine. Kinabainisha tu kwamba pande zote mbili zinaweza kukokotoa funguo zilezile na kwamba zinakubaliana pendekezo moja. Mjibuji asiyependa pendekezo lolote hukataa mazungumzo hapa, ndiyo sababu tofauti ya toleo au algoriti huonekana kama seva imeanguka.
IKE SA iliyoundwa hapa hulinda mazungumzo yote ya usimamizi yanayofuata. Hilo ni kazi yake, na ni kazi tofauti na kulinda pakiti zako.
IKE_AUTH: thibitisha utambulisho, kisha jenga CHILD SA ya kwanza
Mazungumzo ya pili hubeba utambulisho. Kwa vyeti, kila upande hutia sahihi kwa ufunguo wake wa faragha na kuwasilisha mnyororo ambao mwingine lazima authibitishe; kwa EAP, mjibuji humpa changamoto mwanzilishi kupitia mbinu iliyochaguliwa. Hapa ndipo jina potofu la seva, cheti kilichoisha muda au neno la siri lililokataliwa huonekana hatimaye.
Kwa kawaida IKE_AUTH hujadili pia CHILD SA ya kwanza, hivyo ulinzi wa data hukubaliwa katika safari hiyo hiyo. Mwanzilishi hupendekeza vichaguzi vya trafiki, mjibuji huvibana au kuvikataa, na funguo za njia ya data hutolewa kutoka IKE SA. Hiyo ina maana mazungumzo moja yanaweza kushindwa katika sehemu mbili tofauti sana: utambulisho au sera. Soma mzigo wa taarifa au hitilafu badala ya kushindwa kwa mazungumzo kwa ujumla, kwa sababu tiba ya moja ni cheti na ya nyingine ni tofauti ya subneti.
SA mbili, kazi mbili
| Muungano | Hulinda | Tabia ya muda wa maisha |
|---|---|---|
| IKE SA | Mazungumzo ya usimamizi: kufanya upya funguo, kufuta, mizigo ya usanidi | Hufanywa upya kwa ratiba yake; njia ya data inaweza kustahimili mabadiliko |
| CHILD SA | Trafiki ya programu inayolingana na vichaguzi vya trafiki | Hufanywa upya kwa kujitegemea, mara nyingi zaidi |
Kuzitenganisha kunaeleza tabia mbili zinazoonekana kama hitilafu. Handaki linaweza kuonekana limewekwa wakati ufanyaji upya wa funguo unashindwa chinichini, na CHILD SA inaweza kubadilishwa bila mteja kupoteza muunganisho.
Kwenye strongSwan, marejeleo ya usanidi wa IKEv2 na swanctl --list-sas zinaonyesha ngazi zote mbili, na ip xfrm state pamoja na ip xfrm policy zinaonyesha kile kernel iliweka kwa kweli. Kulinganisha mitazamo hiyo miwili ni njia ya haraka zaidi ya kuona kama mazungumzo yalikamilika au yaliona tu yamekamilika. Ikiwa daemon inaorodhesha CHILD SA ambayo kernel haina hali yake, usanidi ulishindwa kimya. Ikiwa kernel inashikilia hali ambayo daemon haijui, unaangalia mabaki ya jaribio la awali.
Nini bado lazima kiwe kweli baada ya handaki kupanda
Vichaguzi vya trafiki hufafanua anwani zipi zimefunikwa. Ikiwa mteja anapendekeza subneti moja na seva inatarajia nyingine, CHILD SA huwekwa lakini haibebi kitu chochote cha manufaa, na hitilafu inaonekana kama tatizo la uelekezaji na si la mazungumzo. Kisha mkusanyiko wa ndani lazima ushirikiane: upelekaji umewezeshwa pale mwenyeji anaelekeza, njia zinazoelekea handaki, kanuni za firewall zinazoruhusu pakiti zilizofunguliwa, na kitatuzi cha ndani ikiwa majina ya faragha yanahusika. Kila kimoja kati ya hivyo hushindwa kivyake na hakuna kinachorekebishwa kwa kuwasha upya daemon ya IKE.
Weka kumbukumbu ionekane unapotambua tatizo: mazungumzo ya awali, kisha uthibitishaji wa utambulisho, kisha uthibitishaji wa mtumiaji inapohusika, kisha usanidi wa CHILD, na mwisho trafiki ya programu. Hatua inayosimama ndiyo ya kurekebisha, na hitilafu ya uelekezaji baadaye kamwe si sababu ya kulegeza ukaguzi wa utambulisho ambao umeshapita.