IKEv2 ఒకే హ్యాండ్షేక్ కాదు: మొదట IKE SA, తర్వాత ప్రామాణీకరణ, తర్వాత CHILD SA

IKEv2 కనెక్షన్ మీ ట్రాఫిక్ గుప్తీకరణతో ముగిసే ఒకే మార్పిడి అని మీరు అనుకోవచ్చు. వాస్తవానికి కనీసం రెండు ఉన్నాయి, మొదటిది ఎవరినీ ప్రామాణీకరించదు. రెండు వైపులా నియంత్రణ సందేశాలతో ప్రారంభమై, గుప్తలేఖన పరామితులపై ఏకీభవించి, గుర్తింపును నిరూపించి, ఆ తర్వాతే అనువర్తన ప్యాకెట్లను మోసే స్థితిని చర్చిస్తాయి. ఆ క్రమమే ప్రజలు నిరంతరం నివేదించే అసమతౌల్యాన్ని వివరిస్తుంది: గేట్వే ప్రతిస్పందిస్తుంది, క్లయింట్ కనెక్ట్ అయిందని చెబుతుంది, అయినా ప్రైవేట్ అనువర్తనం ఇప్పటికీ సమయం మించిపోతుంది. ప్రతి దశ నిజంగా ఏమి చేస్తుంది మరియు తర్వాత ఏది నిజం కావాలో క్రింద ఉంది.

అపోహ: గేట్వే ప్రతిస్పందిస్తే మీరు కనెక్ట్ అయ్యారు

మొదటి సందేశానికి ప్రతిస్పందన ముగింపు బిందువు చేరుకోగలదని మరియు మాట్లాడటానికి సిద్ధంగా ఉందని రుజువు చేస్తుంది. ఖాతా ఆమోదించబడింది, ధృవపత్రాల గొలుసు ధృవీకరించబడింది, లేదా ఏదైనా డేటా విధానం ఇన్స్టాల్ చేయబడింది అని అది రుజువు చేయదు.

ఆ వైఫల్యాలు తర్వాత సంభవిస్తాయి, వేర్వేరు లక్షణాలను ఇస్తాయి. ధృవపత్రం తిరస్కరణ లేదా EAP వైఫల్యం మొదటి మార్పిడి ఇప్పటికే విజయవంతమైన తర్వాత వస్తుంది, అందుకే UDP 500కు ping మరియు ఆకుపచ్చ క్లయింట్ చిహ్నం చాలా తక్కువ చెబుతాయి.

IKE_SA_INIT: పరామితులపై ఏకీభవించండి, గుర్తింపుపై కాదు

మొదటి మార్పిడి IKE భద్రతా సంఘం కోసం ప్రతిపాదనలను మోస్తుంది: గుప్తీకరణ మరియు సమగ్రత అల్గారిథమ్లు, సూడో-యాదృచ్ఛిక ఫంక్షన్ మరియు Diffie-Hellman సమూహం. రెండు వైపులా nonce విలువలను కూడా మార్పిడి చేసుకుంటాయి, ప్రతి వైపు ఆ విలువలు సృష్టించే భాగస్వామ్య రహస్యం నుండి IKE SA కోసం కీ పదార్థాన్ని పొందుతుంది. ఈ మార్పిడిలో ఏదీ ఇతర వైపు ఎవరో నిర్ధారించదు. రెండు వైపులా ఒకే కీలను లెక్కించగలరని మరియు ఒక ప్రతిపాదనపై ఏకీభవిస్తున్నారని మాత్రమే నిర్ధారిస్తుంది. ఏ ప్రతిపాదనా నచ్చని ప్రతిస్పందకుడు ఇక్కడ మార్పిడిని తిరస్కరిస్తాడు, అందుకే సంస్కరణ లేదా అల్గారిథమ్ అసమతౌల్యం సర్వర్ పడిపోయినట్టు కనిపిస్తుంది.

ఈ సమయంలో సృష్టించబడిన IKE SA తర్వాత వచ్చే అన్ని నిర్వహణ మార్పిడులను రక్షిస్తుంది. అది దాని పని, మరియు అది మీ ప్యాకెట్లను రక్షించడం నుండి భిన్నమైన పని.

IKE_AUTH: గుర్తింపును నిరూపించి, తర్వాత మొదటి CHILD SAని నిర్మించండి

రెండవ మార్పిడి గుర్తింపును మోస్తుంది. ధృవపత్రాలతో, ప్రతి వైపు తన ప్రైవేట్ కీతో సంతకం చేసి, ఇతర వైపు ధృవీకరించాల్సిన గొలుసును ప్రదర్శిస్తుంది; EAPతో, ప్రతిస్పందకుడు ఎంచుకున్న పద్ధతి ద్వారా ప్రారంభకుడిని సవాలు చేస్తాడు. తప్పు సర్వర్ పేరు, గడువు ముగిసిన ధృవపత్రం లేదా తిరస్కరించబడిన పాస్వర్డ్ చివరకు ఇక్కడ బయటపడతాయి.

సాధారణంగా IKE_AUTH మొదటి CHILD SAని కూడా చర్చిస్తుంది, కాబట్టి డేటా రక్షణ అదే ప్రయాణంలో అంగీకరించబడుతుంది. ప్రారంభకుడు ట్రాఫిక్ ఎంపికకారులను ప్రతిపాదిస్తాడు, ప్రతిస్పందకుడు వాటిని సంకుచితం చేస్తాడు లేదా తిరస్కరిస్తాడు, డేటా మార్గం కీలు IKE SA నుండి పొందబడతాయి. అంటే ఒక మార్పిడి చాలా భిన్నమైన రెండు చోట్ల విఫలం కావచ్చు: గుర్తింపు లేదా విధానం. సాధారణ హ్యాండ్షేక్ వైఫల్యం బదులు నోటిఫికేషన్ పేలోడ్ లేదా లోపాన్ని చదవండి, ఎందుకంటే ఒకదానికి పరిష్కారం ధృవపత్రం, మరొకదానికి ఉపజాల అసమతౌల్యం.

రెండు SA, రెండు పనులు

వాటిని వేరుగా ఉంచడం బగ్లలా కనిపించే రెండు ప్రవర్తనలను వివరిస్తుంది. టన్నెల్ స్థాపించబడినట్టు కనిపిస్తూనే నేపథ్యంలో కీ పునరుత్పత్తి విఫలమవుతుండవచ్చు, మరియు క్లయింట్ కనెక్షన్ కోల్పోకుండా CHILD SA భర్తీ చేయబడవచ్చు.

strongSwanలో, IKEv2 కాన్ఫిగరేషన్ సూచన మరియు swanctl --list-sas రెండు స్థాయిలను చూపుతాయి, మరియు ip xfrm state తో పాటు ip xfrm policy కెర్నల్ నిజంగా ఏమి ఇన్స్టాల్ చేసిందో చూపుతాయి. ఈ రెండు వీక్షణలను పోల్చడం చర్చ పూర్తయిందా లేదా పూర్తయినట్టు మాత్రమే కనిపించిందా తెలుసుకోవడానికి వేగవంతమైన మార్గం. కెర్నల్లో స్థితి లేని CHILD SAని డీమన్ జాబితా చేస్తే, ఇన్స్టాలేషన్ నిశ్శబ్దంగా విఫలమైంది. డీమన్కు తెలియని స్థితిని కెర్నల్ కలిగి ఉంటే, మీరు మునుపటి ప్రయత్నం యొక్క శేషాన్ని చూస్తున్నారు.

టన్నెల్ లేచిన తర్వాత కూడా ఏది నిజం ఉండాలి

ట్రాఫిక్ ఎంపికకారులు ఏ చిరునామాలు కవర్ అయ్యాయో నిర్వచిస్తాయి. క్లయింట్ ఒక ఉపజాలాన్ని ప్రతిపాదించి సర్వర్ మరొకటి ఆశించినట్లయితే, CHILD SA ఇన్స్టాల్ అవుతుంది కానీ ఉపయోగకరమైనది ఏమీ మోయదు, మరియు లోపం చర్చ సమస్యగా కాకుండా మార్గనిర్దేశన సమస్యగా కనిపిస్తుంది. తర్వాత స్థానిక స్టాక్ సహకరించాలి: హోస్ట్ మార్గనిర్దేశనం చేసే చోట ఫార్వార్డింగ్ ప్రారంభించబడాలి, టన్నెల్ వైపు మార్గాలు, డీక్యాప్సులేట్ చేసిన ప్యాకెట్లను అనుమతించే ఫైర్వాల్ నియమాలు, మరియు ప్రైవేట్ పేర్లు ఉంటే అంతర్గత పరిష్కర్త. వీటిలో ప్రతి ఒక్కటి విడిగా విఫలమవుతుంది మరియు IKE డీమన్ను పునఃప్రారంభించడం వల్ల ఏదీ సరికాదు.

నిర్ధారణ చేస్తున్నప్పుడు లాగ్ కనిపించేలా ఉంచండి: ప్రారంభ మార్పిడి, తర్వాత గుర్తింపు ధృవీకరణ, తర్వాత వర్తించే చోట వినియోగదారు ప్రామాణీకరణ, తర్వాత CHILD ఇన్స్టాలేషన్ మరియు చివరగా అనువర్తన ట్రాఫిక్. ఆగే దశయే సరిచేయవలసిన దశ, మరియు తర్వాతి మార్గనిర్దేశన వైఫల్యం ఇప్పటికే దాటిన గుర్తింపు తనిఖీలను సడలించడానికి ఎప్పుడూ కారణం కాదు.