IKEv2 ஒரு கைக்குலுக்கல் அல்ல: IKE SA, அங்கீகாரம், பின்னர் CHILD SA

IKEv2 இணைப்பு உங்கள் போக்குவரத்து மறையாக்கப்பட்டு முடியும் ஒரே பரிமாற்றம் என்று நீங்கள் நினைக்கலாம். உண்மையில் குறைந்தது இரண்டு உள்ளன, முதல் ஒன்று யாரையும் அங்கீகரிக்கவில்லை. இரு தரப்பும் கட்டுப்பாட்டுச் செய்திகளுடன் தொடங்கி, மறையாக்க அளவுருக்களில் ஒப்புக்கொண்டு, அடையாளத்தை நிரூபித்து, அதன் பின்னரே பயன்பாட்டுப் பொதிகளை எடுத்துச் செல்லும் நிலையைப் பேசுகின்றன. அந்த வரிசையே மக்கள் தொடர்ந்து தெரிவிக்கும் முரண்பாட்டை விளக்குகிறது: நுழைவாயில் பதிலளிக்கிறது, வாடிக்கையாளர் இணைந்ததாகக் கூறுகிறது, ஆனால் தனியார் பயன்பாடு இன்னும் நேரம் முடிந்து விடுகிறது. ஒவ்வொரு கட்டமும் உண்மையில் என்ன செய்கிறது, அதன் பிறகு என்ன உண்மையாக இருக்க வேண்டும் என்பது கீழே உள்ளது.

கட்டுக்கதை: நுழைவாயில் பதிலளித்தால் நீங்கள் இணைந்துவிட்டீர்கள்

முதல் செய்திக்கான பதில் முனை அணுகக்கூடியது மற்றும் பேசத் தயார் என்பதை நிரூபிக்கிறது. கணக்கு ஏற்கப்பட்டது, சான்றிதழ்ச் சங்கிலி சரிபார்க்கப்பட்டது, அல்லது ஏதேனும் தரவுக் கொள்கை நிறுவப்பட்டது என்பதை அது நிரூபிக்கவில்லை.

அந்தத் தோல்விகள் பின்னர் நிகழ்கின்றன, வெவ்வேறு அறிகுறிகளைத் தருகின்றன. சான்றிதழ் நிராகரிப்பு அல்லது EAP தோல்வி முதல் பரிமாற்றம் ஏற்கனவே வெற்றியடைந்த பிறகே வருகிறது, அதனால்தான் UDP 500 க்கு ping மற்றும் பச்சை வாடிக்கையாளர் சின்னம் மிகக் குறைவாகவே சொல்கின்றன.

IKE_SA_INIT: அளவுருக்களில் ஒப்புக்கொள்ளுங்கள், அடையாளத்தில் அல்ல

முதல் பரிமாற்றம் IKE பாதுகாப்புச் சங்கத்திற்கான முன்மொழிவுகளை எடுத்துச் செல்கிறது: மறையாக்கம் மற்றும் ஒருமைப்பாடு படிமுறைகள், ஒரு போலி-சீரற்ற சார்பு, மற்றும் ஒரு Diffie-Hellman குழு. இரு தரப்பும் nonce மதிப்புகளையும் பரிமாறிக்கொள்கின்றன, ஒவ்வொரு பக்கமும் அந்த மதிப்புகள் உருவாக்கும் பகிரப்பட்ட ரகசியத்திலிருந்து IKE SA க்கான சாவி பொருளைப் பெறுகிறது. இந்தப் பரிமாற்றத்தில் எதுவும் மறுதரப்பு யார் என்பதை நிறுவவில்லை. இரு பக்கமும் ஒரே சாவிகளைக் கணக்கிட முடியும் என்பதையும் ஒரு முன்மொழிவில் உடன்படுவதையும் மட்டுமே நிறுவுகிறது. எந்த முன்மொழிவும் பிடிக்காத பதிலளிப்பவர் இங்கே பரிமாற்றத்தை நிராகரிக்கிறார், அதனால்தான் பதிப்பு அல்லது படிமுறை பொருந்தாமை சேவையகம் விழுந்ததைப் போலத் தெரிகிறது.

இந்தக் கட்டத்தில் உருவாக்கப்படும் IKE SA பின்னர் வரும் அனைத்து நிர்வாகப் பரிமாற்றங்களையும் பாதுகாக்கிறது. அதுவே அதன் வேலை, அது உங்கள் பொதிகளைப் பாதுகாப்பதிலிருந்து வேறுபட்ட வேலை.

IKE_AUTH: அடையாளத்தை நிரூபித்து பின்னர் முதல் CHILD SA ஐ உருவாக்குங்கள்

இரண்டாவது பரிமாற்றம் அடையாளத்தை எடுத்துச் செல்கிறது. சான்றிதழ்களுடன், ஒவ்வொரு தரப்பும் தன் தனிப்பட்ட சாவியால் கையொப்பமிட்டு, மறுதரப்பு சரிபார்க்க வேண்டிய சங்கிலியை வழங்குகிறது; EAP உடன், பதிலளிப்பவர் தேர்ந்தெடுத்த முறையின் மூலம் தொடங்குபவருக்கு சவால் விடுக்கிறார். தவறான சேவையகப் பெயர், காலாவதியான சான்றிதழ் அல்லது நிராகரிக்கப்பட்ட கடவுச்சொல் இறுதியாக இங்கே வெளிப்படுகிறது.

வழக்கமாக IKE_AUTH முதல் CHILD SA ஐயும் பேசுகிறது, எனவே தரவுப் பாதுகாப்பு அதே பயணத்தில் ஒப்புக்கொள்ளப்படுகிறது. தொடங்குபவர் போக்குவரத்து தேர்விகளை முன்மொழிகிறார், பதிலளிப்பவர் அவற்றைக் குறைக்கிறார் அல்லது நிராகரிக்கிறார், தரவுப் பாதையின் சாவிகள் IKE SA இலிருந்து பெறப்படுகின்றன. அதாவது ஒரு பரிமாற்றம் மிக வேறுபட்ட இரண்டு இடங்களில் தோல்வியடையலாம்: அடையாளம் அல்லது கொள்கை. பொதுவான கைக்குலுக்கல் தோல்விக்குப் பதிலாக அறிவிப்பு ஏற்றுதல் அல்லது பிழையைப் படியுங்கள், ஏனெனில் ஒன்றிற்கு தீர்வு சான்றிதழ், மற்றதற்கு துணை வலை பொருந்தாமை.

இரண்டு SA, இரண்டு வேலை

அவற்றைப் பிரித்து வைப்பது பிழை போலத் தோன்றும் இரண்டு நடத்தைகளை விளக்குகிறது. சுரங்கப்பாதை நிறுவப்பட்டதாகத் தோன்றும் அதே வேளையில் பின்னணியில் சாவி மீளுருவாக்கம் தோல்வியடையலாம், மேலும் வாடிக்கையாளர் இணைப்பை இழக்காமல் CHILD SA மாற்றப்படலாம்.

strongSwan இல், IKEv2 உள்ளமைவு குறிப்பு மற்றும் swanctl --list-sas இரண்டு நிலைகளையும் காட்டுகின்றன, மேலும் ip xfrm state உடன் ip xfrm policy கருநிரல் உண்மையில் என்ன நிறுவியது என்பதைக் காட்டுகின்றன. இந்த இரண்டு பார்வைகளை ஒப்பிடுவதே பேச்சுவார்த்தை முடிந்ததா அல்லது முடிந்ததுபோலத் தோன்றியதா என்பதை அறியும் விரைவான வழி. கருநிரலில் நிலை இல்லாத CHILD SA ஐ டீமன் பட்டியலிட்டால், நிறுவல் அமைதியாகத் தோல்வியடைந்தது. டீமனுக்குத் தெரியாத நிலையை கருநிரல் வைத்திருந்தால், நீங்கள் முந்தைய முயற்சியின் எச்சத்தைப் பார்க்கிறீர்கள்.

சுரங்கப்பாதை எழுந்த பிறகும் என்ன உண்மையாக இருக்க வேண்டும்

போக்குவரத்து தேர்விகள் எந்த முகவரிகள் உள்ளடங்கியுள்ளன என்பதை வரையறுக்கின்றன. வாடிக்கையாளர் ஒரு துணை வலையை முன்மொழிந்து சேவையகம் இன்னொன்றை எதிர்பார்த்தால், CHILD SA நிறுவப்படுகிறது ஆனால் பயனுள்ள எதையும் எடுத்துச் செல்லவில்லை, மேலும் பிழை பேச்சுவார்த்தைச் சிக்கலாக அல்லாமல் வழிசெலுத்தல் சிக்கலாகத் தோன்றுகிறது. பின்னர் உள்ளூர் அடுக்கு ஒத்துழைக்க வேண்டும்: புரவலன் வழிசெலுத்தும் இடத்தில் அனுப்புதல் இயக்கப்பட்டிருக்க வேண்டும், சுரங்கப்பாதை நோக்கிய வழிகள், மறைகாப்பு நீக்கப்பட்ட பொதிகளை அனுமதிக்கும் தீச்சுவர் விதிகள், மற்றும் தனியார் பெயர்கள் சம்பந்தப்பட்டால் உள் தீர்வான். இவை ஒவ்வொன்றும் தனித்தனியாகத் தோல்வியடைகின்றன, IKE டீமனை மறுதொடக்கம் செய்வதால் எதுவும் சரிசெய்யப்படுவதில்லை.

கண்டறியும் போது பதிவைத் தெரியும்படி வைத்திருங்கள்: ஆரம்பப் பரிமாற்றம், பின்னர் அடையாளச் சரிபார்ப்பு, பின்னர் பொருந்தும் இடத்தில் பயனர் அங்கீகாரம், பின்னர் CHILD நிறுவல், இறுதியாக பயன்பாட்டுப் போக்குவரத்து. நிற்கும் கட்டமே சரிசெய்ய வேண்டியது, பின்னர் வரும் வழிசெலுத்தல் தோல்வி ஏற்கனவே கடந்த அடையாளச் சோதனைகளைத் தளர்த்த எப்போதும் காரணமல்ல.