Nakabuo ang IKE SA, kulang ang CHILD SA: saan humihinto ang data

Sinasabi ng kliyente na na-authenticate ito, mukhang malusog ang status ng IKE, at nananatiling zero ang mga counter ng packet. Ang kombinasyong ito ay hindi kontradiksyon: Inihihiwalay ng IKEv2 ang relasyon sa kontrol at ang relasyon sa data, at maaaring magtagumpay ang una habang ang pangalawa ay hindi kailanman bumangon. Ang magulang ang humahawak sa negosasyon; ang anak ang humahawak sa trapiko. Basahin ang dalawang layer nang hiwalay bago sabihing bumagsak ang tunnel.

Ano ang ginagawa ng dalawang SA

Ang IKE SA ay ang relasyon sa kontrol: pinapatunayan nito ang mga panig at dinadala ang mga palitan na nag-uusap, nagpapalit at nag-aalis ng proteksyon. Hindi nito kailanman dinadala ang mga packet ng iyong aplikasyon. Kaya ang malusog na magulang ay nagpapatunay lamang na ang dalawang dulo ay makakasundo sa patakarang pangseguridad, at wala nang iba.

Ang CHILD SA ay ang relasyon sa data, nilikha sa ilalim ng magulang, may mga selector ng trapiko at materyal ng susi para sa isang protektadong set. May direksyon ito, kaya naglilista ang output ng status ng papasok at palabas na asosasyon na may magkahiwalay na identifier, at kadalasan ay magkahiwalay na counter para sa bawat direksyon. Ang pares na ito ang dahilan kung bakit gumagana ang isang direksyon habang bumabagsak ang isa, at kung bakit ang pariralang nakataas ang tunnel ay walang sinasabi tungkol sa trapiko. Maaari ring maghawak ang isang magulang ng maraming anak, at ganoon natatakpan ng isang label ng koneksyon ang kailangan mo.

Basahin ang mga entry ng anak, hindi ang label ng koneksyon

Buksan nang sabay ang status ng magulang at ang listahan ng anak, at hanapin ang anak na tumutugma ang mga selector sa daloy na sinusubukan mo. Itala ang mga selector ng trapiko, ang mga napagkasunduang algorithm, ang haba ng buhay, at ang mga counter sa dalawang direksyon. Kung maraming anak, itugma sa mga selector at hindi sa posisyon, dahil nagbabago ang posisyon pagkatapos ng panibagong susi. Isulat ang mga identifier bago ka magbago ng anuman.

Kung iba ang set ng trapikong inililista ng magulang kaysa sa sinusubukan mo, mali ang binabasa mong anak. Problema iyon sa selector, hindi sirang tunnel.

Itala rin ang mga timestamp. Maaaring palitan ng panibagong susi ang isang layer habang nananatiling nabuo ang isa, at ang anak na mukhang bago ay maaaring kapalit ng sinusubaybayan mo. Ihambing ang mga identifier bago magpasya na nawala ang isang anak.

Kapag walang anak

Maaaring magtagumpay ang pagpapatunay habang nabigo ang panukala sa data o ang mga selector, at nananatiling walang anak ang magulang. Ang karaniwang dahilan ay hindi pagkakatugma ng algorithm o hindi pagkakatugma ng selector ng trapiko, at parehong panig ay nagla-log ng tinanggihang panukala. Basahin ang dalawang dulo, dahil ang panig na naaabot mo ay maaaring magpakita lamang ng pagtanggi. Ayusin ang pagkakatugma sa halip na i-restart ang magulang, na inuulit ang parehong nabigong negosasyon at nagdaragdag ng isa pang paghinto sa ebidensya.

Ang magulang na paulit-ulit na nabubuo ay ibang pagkabigo kaysa sa magulang na nananatiling nakatayo nang walang anak. Sa ikalawang kaso, pinapangalanan ng mga log ang tinanggihang panukala, kaya tipunin ang panukalang iyon mula sa dalawang dulo bago mag-edit ng patakaran.

Kapag may anak pero nananatiling zero ang mga counter

Magpadala ng bagong kahilingan na tumutugma sa mga selector ng anak. Ang kahilingan sa destinasyong labas ng patakarang iyon ay hindi gagalawin ang mga counter nito, gaano man ito kaganda tingnan.

Suriin ang ruta na dapat magtulak ng daloy papasok sa tunnel, dahil ang anak na walang trapiko ay kadalasang anak na walang niruruta. Ang mga counter na gumagalaw sa isang direksyon lamang ay tumuturo sa hindi pagkakatugma ng selector o patakaran sa ruta ng pagbabalik. Tingnan ang mga selector ng pagbabalik ng malayong kapareha bago hawakan ang lokal na panig. Ang bagong kahilingan ay nagbibigay rin ng timestamp na maihahambing sa output ng status ng dalawang dulo.

Pangalanan ang layer sa ulat

Iulat ang pagkabigo bilang tatlong field at hindi hatol: ang layer na nabigo, ang palitan o anak na sinuri mo, at ang ebidensyang hawak mo. Ang layer ay isa sa tatlo: hindi kailanman nabuo ang magulang, tinanggihan ang negosasyon ng anak, o may anak at hindi ito naaabot ng trapiko. Ang ebidensya ay ang identifier ng anak kasama ang mga selector at counter nito, o ang tinanggihang panukalang sinipi mula sa dalawang log. Kahit sino ang magbasa nito ay maaaring dumiretso sa palitang mahalaga sa halip na magtanong kung aling VPN ang tinutukoy mo.

dokumentasyon ng strongSwan sa IKEv2 ay nagpapakita kung paano lumilitaw ang mga layer na iyon sa output ng status. Ikabit ang output ng anak na sinubukan mo, hindi lamang ang buod ng magulang.