IKE SA สร้างแล้ว แต่ CHILD SA หายไป: ข้อมูลหยุดที่ไหน

ไคลเอนต์บอกว่าผ่านการพิสูจน์ตัวตนแล้ว สถานะ IKE ดูปกติ แต่ตัวนับแพ็กเก็ตยังคงเป็นศูนย์ การรวมกันนี้ไม่ใช่ความขัดแย้ง: IKEv2 แยกความสัมพันธ์ควบคุมและความสัมพันธ์ข้อมูลออกจากกัน และอันแรกอาจสำเร็จได้ในขณะที่อันที่สองไม่เคยขึ้นมา ผู้ปกครองดูแลการเจรจา ลูกดูแลทราฟฟิก อ่านสองชั้นแยกกันก่อนจะบอกว่าอุโมงค์ล่ม

สอง SA ทำอะไร

IKE SA คือความสัมพันธ์ควบคุม มันพิสูจน์ตัวตนคู่ค้าและบรรทุกการแลกเปลี่ยนที่เจรจา แทนที่ และถอดการป้องกัน มันไม่เคยบรรทุกแพ็กเก็ตแอปพลิเคชันของคุณ ผู้ปกครองที่แข็งแรงจึงพิสูจน์เพียงว่าปลายทั้งสองตกลงนโยบายความปลอดภัยได้ และไม่มีอะไรมากกว่านั้น

CHILD SA คือความสัมพันธ์ข้อมูล สร้างใต้ผู้ปกครอง พร้อมตัวเลือกทราฟฟิกและวัสดุกุญแจสำหรับชุดที่ป้องกันหนึ่งชุด มันมีทิศทาง ดังนั้นเอาต์พุตสถานะจึงแสดงความเชื่อมโยงขาเข้าและขาออกด้วยตัวระบุแยกกัน และมักมีตัวนับแยกสำหรับแต่ละทิศทาง การจับคู่นี้คือเหตุผลที่ทิศทางหนึ่งทำงานได้ในขณะที่อีกทิศทางล่ม และเหตุผลที่วลีอุโมงค์ขึ้นแล้วไม่ได้บอกอะไรเกี่ยวกับทราฟฟิก ผู้ปกครองหนึ่งตัวสามารถถือลูกได้หลายตัว และนั่นคือวิธีที่ป้ายเชื่อมต่อเดียวซ่อนตัวที่คุณต้องการ

อ่านรายการลูก ไม่ใช่ป้ายเชื่อมต่อ

เปิดสถานะผู้ปกครองและรายการลูกพร้อมกัน แล้วหาลูกที่มีตัวเลือกตรงกับโฟลว์ที่คุณทดสอบ บันทึกตัวเลือกทราฟฟิก อัลกอริทึมที่เจรจา อายุการใช้งาน และตัวนับทั้งสองทิศทาง หากมีลูกหลายตัว ให้จับคู่ด้วยตัวเลือกไม่ใช่ตำแหน่ง เพราะตำแหน่งเปลี่ยนหลังการต่อกุญแจใหม่ จดตัวระบุก่อนจะเปลี่ยนอะไร

หากผู้ปกครองแสดงชุดทราฟฟิกอื่นจากที่คุณทดสอบ คุณกำลังอ่านลูกผิดตัว นั่นเป็นปัญหาตัวเลือก ไม่ใช่อุโมงค์แตก

บันทึกเวลาไว้ด้วย การต่อกุญแจใหม่สามารถแทนที่ชั้นหนึ่งในขณะที่อีกชั้นยังสร้างอยู่ และลูกที่ดูเหมือนใหม่ก็อาจเป็นตัวแทนของตัวที่คุณเฝ้าดูอยู่ เปรียบเทียบตัวระบุก่อนสรุปว่าลูกหายไป

เมื่อไม่มีลูกเลย

การพิสูจน์ตัวตนอาจสำเร็จในขณะที่ข้อเสนอข้อมูลหรือตัวเลือกล้มเหลว และผู้ปกครองก็ไม่มีลูกเลย สาเหตุปกติคืออัลกอริทึมไม่ตรงกันหรือตัวเลือกทราฟฟิกไม่ตรงกัน และทั้งสองฝ่ายบันทึกข้อเสนอที่ถูกปฏิเสธ อ่านปลายทั้งสอง เพราะฝั่งที่คุณเข้าถึงอาจแสดงเพียงการปฏิเสธ แก้ความไม่ตรงกันแทนการรีสตาร์ตผู้ปกครอง ซึ่งจะเจรจาที่ล้มเหลวเดิมซ้ำและเพิ่มการหยุดให้หลักฐานอีกครั้ง

ผู้ปกครองที่สร้างใหม่ซ้ำ ๆ เป็นความล้มเหลวคนละแบบกับผู้ปกครองที่อยู่ได้โดยไม่มีลูก ในกรณีหลังบันทึกระบุชื่อข้อเสนอที่ถูกปฏิเสธ ดังนั้นเก็บข้อเสนอนั้นจากปลายทั้งสองก่อนแก้ไขนโยบาย

เมื่อมีลูกแต่ตัวนับยังเป็นศูนย์

ส่งคำขอใหม่ที่ตรงกับตัวเลือกของลูก คำขอไปยังปลายทางนอกนโยบายนั้นจะไม่ขยับตัวนับ ไม่ว่ามันจะดูสำเร็จเพียงใด

ตรวจเส้นทางที่ควรดันโฟลว์เข้าอุโมงค์ เพราะลูกที่ไม่มีทราฟฟิกมักเป็นลูกที่ไม่มีอะไรถูกกำหนดเส้นทางไป ตัวนับที่ขยับทิศทางเดียวชี้ไปที่ตัวเลือกหรือนโยบายไม่ตรงกันบนเส้นทางขากลับ ดูตัวเลือกขากลับของคู่ค้าระยะไกลก่อนแตะฝั่งท้องถิ่น คำขอใหม่ยังให้เวลาสำหรับเทียบกับเอาต์พุตสถานะของปลายทั้งสอง

ระบุชั้นในรายงาน

รายงานความล้มเหลวเป็นสามฟิลด์ไม่ใช่คำตัดสิน ชั้นที่ล้มเหลว การแลกเปลี่ยนหรือลูกที่คุณตรวจ และหลักฐานที่คุณมี ชั้นคือหนึ่งในสาม ผู้ปกครองไม่เคยถูกสร้าง การเจรจาของลูกถูกปฏิเสธ หรือมีลูกอยู่แต่ทราฟฟิกไปไม่ถึง หลักฐานคือตัวระบุลูกพร้อมตัวเลือกและตัวนับ หรือข้อเสนอที่ถูกปฏิเสธซึ่งยกมาจากบันทึกทั้งสอง ใครก็ตามที่อ่านสามารถไปที่การแลกเปลี่ยนที่สำคัญได้ทันทีโดยไม่ต้องถามว่าคุณหมายถึง VPN ตัวไหน

เอกสาร strongSwan IKEv2 แสดงว่าชั้นเหล่านี้ปรากฏในเอาต์พุตสถานะอย่างไร แนบเอาต์พุตของลูกที่คุณทดสอบ ไม่ใช่แค่สรุปของผู้ปกครอง