మీ IPsec టన్నెల్ మొదటి CHILD SA కీ పునరుద్ధరణ వరకు మాత్రమే ఎందుకు పనిచేస్తుంది

టన్నెల్ పైకి వచ్చింది, ping సమాధానమిచ్చింది, అందరూ సంతకం చేశారు. నాలుగు గంటల తర్వాత సెషన్ పడిపోతుంది, రెండు వైపులా ప్రతిపాదన లేదా కీ-మార్పిడి లోపాన్ని నమోదు చేస్తాయి, మొదటి ఊహ నెట్‌వర్క్‌లో ఏదో మారిందని. ఏదీ మారలేదు. ట్రాఫిక్ మోసే టన్నెల్ రెండు వైపులా ఎలా ప్రామాణీకరించాలి మరియు మొదటి చైల్డ్ అసోసియేషన్‌ను ఎలా రక్షించాలి అనే దానిపై ఏకీభవిస్తున్నాయని నిరూపించింది, పునరుద్ధరణలో వారు కోరబోయే కీ మార్పిడి గురించి ఏమీ నిరూపించలేదు. అసమానత ఆ రెండు సంఘటనల మధ్య ఖాళీలో కూర్చుంది.

కనెక్ట్ అయ్యింది అంటే PFS సెట్టింగ్‌లు సరిపోతాయని కాదు

IKEv2 లో, మొదటి చైల్డ్ అసోసియేషన్ ప్రామాణీకరణ మార్పిడి సమయంలో సృష్టించబడుతుంది, దాని కీలు IKE అసోసియేషన్ ఇప్పటికే ఉత్పత్తి చేసిన పదార్థం నుండి తీసుకోబడతాయి. ఆ చైల్డ్ కోసం ప్రత్యేక Diffie-Hellman మార్పిడి జరగదు, కాబట్టి పునరుద్ధరణలో అలాంటిది కోరే విధానం లేవనెత్తే సమయంలో పరీక్షించబడదు.

పునరుద్ధరణ మరో మార్పిడి. చైల్డ్ అసోసియేషన్ కీ పునరుద్ధరించబడినప్పుడు, వైపులా తమ ప్రతిపాదనల్లో పేర్కొన్న గ్రూప్‌తో కొత్త కీ మార్పిడి చేయవచ్చు, గ్రూప్ సెట్టింగ్‌లు మొదటిసారి పోల్చబడే క్షణం అదే. కాబట్టి ఏకీభవించని రెండు వైపులా ప్రామాణీకరించి, చైల్డ్ అసోసియేషన్ ఇన్‌స్టాల్ చేసి, ట్రాఫిక్ పంపి, తర్వాత పునరుద్ధరణలో విఫలం కావచ్చు.

ప్రతిపాదన స్ట్రింగ్‌లో అసమానత ఎక్కడ దాగి ఉంది

strongSwan లో గ్రూప్ చైల్డ్ ప్రతిపాదనకు జోడించబడుతుంది, అందుకే aes256gcm16-prfsha256-ecp256 వంటి స్ట్రింగ్ ఎన్‌క్రిప్షన్ ఎంపికలా కనిపిస్తుంది కానీ కీ మార్పిడి అవసరాన్ని కూడా మోస్తుంది. కేవలం aes256gcm16-prfsha256 అందించే వైపుకు అలాంటి అవసరం ఉండదు, రెండు జాబితాలు ఎన్‌క్రిప్షన్‌లో కలుస్తాయి కానీ మార్పిడిలో భిన్నంగా ఉంటాయి.

చైల్డ్ ప్రతిపాదనను మరియు IKE ప్రతిపాదనను వేర్వేరు జాబితాలుగా చదవండి. IKE జాబితాలో కనిపించే గ్రూప్ చైల్డ్ జాబితా గురించి ఏమీ చెప్పదు, ఒకదాన్ని చదువుతూ మరొకదాన్ని సవరించడమే దీన్ని దాటవేసే సాధారణ మార్గం.

విఫలతను చదవండి, మీరు సవరించిన ఫైల్‌ను కాదు

మార్పిడిని ముగించిన notify ను కనుగొనండి. ఏ ఆమోదయోగ్యమైన ప్రతిపాదనను తిరిగి ఇవ్వని చైల్డ్ కీ పునరుద్ధరణ ప్రతిపాదన జాబితాల వైపు చూపుతుంది; ఎప్పుడూ సమాధానం పొందని పునరుద్ధరణ అభ్యర్థన మార్గం వైపు లేదా వినడం ఆపిన వైపు చూపుతుంది. ఈ రెండింటికీ వేర్వేరు మరమ్మతు కావాలి, లాగ్ లైన్ పదజాలం వాటిని వేరు చేస్తుంది.

డిస్క్‌లో ఉన్నది కాదు, నడుస్తున్న కాన్ఫిగరేషన్‌ను నిర్ధారించండి. సేవ్ చేసి లోడ్ చేయని ఫైల్, లేదా మరో include నుండి మళ్లీ చదివిన కనెక్షన్, కనిపించే ఫైల్‌ను ఎంత సవరించినా సరిచేయలేని అసమానతను కలిగిస్తుంది.

అందరూ కీ పునరుద్ధరణ అని పిలిచే మూడు సంఘటనలు

IKE అసోసియేషన్ కీ పునరుద్ధరణ, IKE పునఃప్రామాణీకరణ మరియు చైల్డ్ అసోసియేషన్ కీ పునరుద్ధరణ వేర్వేరు ప్రతిపాదన నియమాలతో కూడిన వేర్వేరు కార్యకలాపాలు. వాటిలో ఒకదానిలో నివేదించిన విఫలత మిగతావాటి గురించి నేరుగా ఏమీ చెప్పదు, వాటిని కలిపే లాగ్ మూడు ఉన్నా ఒకే పునరావృత లోపంలా చదవబడుతుంది.

వైపు ఏ సంఘటనను పేర్కొంటుందో గమనించి, తర్వాత ఆ సంఘటనకు మాత్రమే ప్రతిపాదనలను తనిఖీ చేయండి. ఒక జాబితాను మార్చి, మళ్లీ లోడ్ చేసి, అదే సంఘటనను మళ్లీ బలవంతంగా రప్పించండి. లాగ్ పునఃప్రామాణీకరణను పేర్కొంటే, చదవాల్సింది IKE ప్రతిపాదన. చైల్డ్ కీ పునరుద్ధరణను పేర్కొంటే, ముఖ్యమైన గ్రూప్‌ను చైల్డ్ ప్రతిపాదన మోస్తుంది.

పునరుద్ధరణను ఆఫ్ చేయడం పరిష్కారం కాదు

కీ పునరుద్ధరణ సమయాన్ని సున్నాకు పెట్టడం విఫలమయ్యే మార్పిడిని అణచివేస్తుంది, టన్నెల్ తర్వాత విచ్ఛిన్నమయ్యే వరకు లేదా వైపు పునఃప్రారంభమయ్యే వరకు జీవిస్తుంది. మీరు కొన్నది ఎక్కువ కాలం జీవించే కీ మరియు వలస, ఆడిట్ లేదా విక్రేత నవీకరణ సమయంలో మళ్లీ ఎదురయ్యే అసమానత. ఇతర వైపు ఆశించే విధానాన్ని మించి ఎంతో దూరం సాగదీసిన ఆయుష్షులకూ ఇదే వర్తిస్తుంది.

బదులుగా ప్రతిపాదనలను సమలేఖనం చేయండి. రెండు వైపులా అమలు చేసే గ్రూప్‌ను ఎంచుకుని, దాన్ని రెండు చివరల్లోనూ చైల్డ్ ప్రతిపాదనలో పెట్టి, పునరుద్ధరణ విధానాన్ని సంస్థ నిజంగా కోరే పరిధిలో ఉంచండి.

విఫలమైన మార్పిడితో దాన్ని నిరూపించండి

నిర్వహణ విండోలో చైల్డ్ కీ పునరుద్ధరణ సమయాన్ని తగ్గించి, సంఘటన గంటల కాకుండా నిమిషాల్లో రావాలి, లేదా చేతితో చైల్డ్ కీ పునరుద్ధరణ ప్రారంభించండి. తర్వాత విజయవంతమైన పునరుద్ధరణను గమనించి, ట్రాఫిక్ దాని గుండా కొనసాగుతుందని నిర్ధారించండి, ఎందుకంటే చైల్డ్ అసోసియేషన్‌ను ఇన్‌స్టాల్ చేసి కానీ అప్లికేషన్ ప్రవాహాన్ని జారవిడిచే కొత్త హ్యాండ్‌షేక్ మరో లోపం.

తర్వాత సాధారణ ఆయుష్షును పునరుద్ధరించి, విఫలమైన మరియు విజయవంతమైన రెండు సంఘటన రికార్డులను ఉంచండి. మీకు కావాల్సిన రుజువు, కనెక్షన్ తన స్వంత జీవిత చక్రాన్ని దాటుతుంది అనేది, ping దాటింది అనేది కాదు.