SA yako ya IKEv2 iko juu lakini hakuna SA mtoto: soma mazungumzo

IKE inasema handaki iko juu, SA mtoto haipo, na kauli zote mbili zinaweza kuwa kweli kwa wakati mmoja. Uhusiano wa udhibiti ulioimarishwa si muunganisho wa data, na vitu viwili vina muda wa maisha, majadiliano na mbinu za kushindwa tofauti. Kuripoti la kwanza kama muunganisho ndiyo njia ambayo tiketi huishia kudai handaki iko juu wakati hakuna kinachofanya kazi. Soma orodha ya muunganisho badala ya lebo ya muhtasari wa kiungo, kwa sababu orodha hiyo ndiyo mahali pekee kitu kinachokosekana kinaonekana. Kinachofuata ni mpangilio ambao orodha inakuwa na maana.

Miunganisho miwili, kazi mbili

SA ya IKE hubeba chaneli ya udhibiti: vitambulisho, funguo na mapendekezo ya mazungumzo ya udhibiti yenyewe. SA mtoto hubeba ulinzi wa ESP, na algoriti zake mwenyewe na wateuzi wake wa trafiki. Uthibitishaji na uundaji wa SA mtoto kwa kawaida huenda pamoja, kwa sababu SA mtoto wa kwanza hujadiliwa ndani ya IKE_AUTH, na muungano huo ndio huwashangaza watu kuhusu mgawanyiko.

Hii pia inaeleza aina mbili za kushindwa utakazokutana nazo. SA mtoto iliyokataliwa wakati wa mazungumzo ya awali kwa kawaida huangusha SA ya IKE pamoja nayo, kwa hiyo huoni chaneli yoyote ya udhibiti iliyoimarishwa. SA ya IKE iliyosimama peke yake mara nyingi ina maana kwamba SA mtoto wa kwanza ilifanikiwa na jaribio la baadaye la kuunda SA mtoto lilishindikana, kwa mfano wakati wa kuhuisha funguo. Mihuri ya muda hutenganisha kesi hizo kwa haraka zaidi kuliko mapitio yoyote ya usanidi.

Tabaka gani lilikataa

SA mtoto inapokataliwa, taarifa hutaja tabaka. Kukataliwa kwa pendekezo kunamaanisha pande hazikuweza kukubaliana kuhusu algoriti, mara nyingi kwa sababu upande mmoja unahitaji kikundi tofauti cha usiri kamili wa mbele au sifa ya usimbaji ambao mwingine hatakubali. Kukataliwa kwa kiteuzi kunamaanisha seti ya trafiki ilikataliwa moja kwa moja, na hiyo ni hoja ya ufikiaji, si ya kriptografia.

Wakati mwingine kutokuwepo kwa SA mtoto ndio muundo wenyewe. SA ya IKE bila SA mtoto ni kiendelezi kilichobainishwa kinachotumika pale muunganisho wa data unapaswa kuundwa kwa ombi, kwa hiyo kutokuwepo ni sahihi na SA mtoto huonekana trafiki inayofaa inapowasili. Maelezo ya strongSwan kuhusu IKEv2 hushughulikia mtindo wa ombi na mipangilio ya pendekezo inayoamua kesi ya kwanza.

Angalia kama kuna usanidi wa ombi au mtego kabla ya kuchunguza hitilafu. Ikiwa SA mtoto huundwa kwa uvivu, kutokuwepo kwa SA mtoto wakati wa utulivu ndio hali inayotarajiwa, na jaribio halisi ni kama trafiki huleta moja juu. Jaribio hilo pia hutenganisha muundo wa uvivu na kushindwa kwa kimya, kwa sababu uundaji ulioshindikana huacha kichocheo bila jibu badala ya utulivu tu.

Kisha uliza kuhusu njia ya data

SA mtoto ikiwepo, vihesabu hujibu swali linalofuata. ip -s xfrm state huripoti hesabu za pakiti na baiti kwa kila muunganisho, na SA mtoto isiyobeba chochote wakati unazalisha trafiki huonyesha ulinganishaji au uelekezaji si kuelekea muunganisho unaokosekana. swanctl --list-sas huchapisha wateuzi wa SA mtoto kando ya vihesabu hivyo, na hilo ndilo huthibitisha kwamba pakiti iko ndani ya seti iliyokubaliwa.

Tenganisha kwenye ripoti uthibitishaji uliofaulu na mazungumzo ya SA mtoto yaliyoshindikana. Ripoti inayosema uthibitishaji ulishindikana humtuma mhandisi anayefuata kwenye ghala la vyeti, na sentensi sahihi ni fupi zaidi: SA ya IKE ilipanda, na SA mtoto kwa mtiririko huu haikukubaliwa kamwe.

Unganisha ncha mbili

Kwa seva unayoendesha mwenyewe, chukua kumbukumbu za mteja na lango kwa mazungumzo yale yale badala ya kulinganisha majaribio mawili ya kuunganisha tena kwa saa moja. Taarifa zinapaswa kulingana pande zote mbili, na pale zisipolingana umepata upande uliosanidiwa vibaya.

Rekebisha majadiliano ya SA mtoto, kisha jaribu tena na trafiki ndani ya kiteuzi kilichokusudiwa. Hiki ndicho jaribio pekee linalothibitisha kwamba kitu kilichokosekana sasa kipo, kwa sababu orodha ya muunganisho iliyohuishwa wakati wa utulivu inaweza kuonekana sawa kabla na baada ya marekebisho.