Nakaupo ang IKEv2 SA mo pero walang anak na SA: basahin ang palitan

Sinasabi ng IKE na nakaupo ang tunnel, wala ang anak na SA, at maaaring totoo ang dalawang pahayag nang sabay. Ang naitatag na ugnayang pang-kontrol ay hindi asosasyon ng datos, at may hiwalay na habang-buhay, negosasyon at paraan ng pagpalya ang dalawang bagay. Ang iulat ang una bilang koneksyon ang paraan para mauwi ang isang tiket sa pagsasabing nakaupo ang tunnel habang walang gumagana. Basahin ang listahan ng asosasyon sa halip na ang buod na label ng koneksyon, dahil ang listahang iyon lang ang lugar kung saan nakikita ang nawawalang bagay. Ang sumusunod ay ang pagkakasunod-sunod kung saan may saysay ang listahan.

Dalawang asosasyon, dalawang gawain

Nagdadala ang IKE SA ng kontrol na channel: mga pagkakakilanlan, susi at mga proposal para sa mismong palitan ng kontrol. Nagdadala ang anak na SA ng proteksyong ESP, kasama ang sarili nitong mga algorithm at sarili nitong mga selector ng trapiko. Karaniwang magkasama ang pagpapatotoo at paggawa ng anak na SA, dahil ang unang anak na SA ay pinag-uusapan sa loob ng IKE_AUTH, at ang pagsasamang iyon ang nagpapabigla sa mga tao tungkol sa paghihiwalay.

Ipinapaliwanag din nito ang dalawang anyo ng pagpalya na makikita mo. Ang anak na SA na tinanggihan sa unang palitan ay karaniwang hinihila pababa ang IKE SA, kaya wala kang nakikitang naitatag na kontrol na channel. Ang IKE SA na nag-iisa ay mas madalas na nangangahulugang nagtagumpay ang unang anak na SA at nabigo ang sumunod na pagtatangkang gumawa ng anak na SA, halimbawa sa pagpapalit ng susi. Ang mga tatak ng oras ay naghihiwalay sa mga kasong iyon nang mas mabilis kaysa anumang pagsusuri ng configuration.

Aling patong ang tumanggi

Kapag tinanggihan ang isang anak na SA, pinapangalanan ng abiso ang patong. Ang pagtanggi sa proposal ay nangangahulugang hindi nagkasundo ang mga panig sa mga algorithm, kadalasan dahil ang isa ay nangangailangan ng ibang pangkat ng perpektong patungong-harap na pagiging lihim o cipher na hindi tatanggapin ng isa. Ang pagtanggi sa selector ay nangangahulugang direktang tinanggihan ang hanay ng trapiko, at iyon ay argumento ng saklaw, hindi kriptograpiko.

Kung minsan ang kawalan ng anak na SA ang mismong disenyo. Ang IKE SA na walang anak na SA ay isang tinukoy na extension na ginagamit kung saan dapat gawin ang asosasyon ng datos kapag hiniling, kaya tama ang kawalan at lumilitaw ang anak na SA kapag dumating ang tugmang trapiko. Ang mga tala ng strongSwan tungkol sa IKEv2 saklaw ang istilo ng kapag-hiniling at ang mga setting ng proposal na nagpapasya sa unang kaso.

Tingnan kung may configuration na kapag-hiniling o bitag bago mag-diagnose ng sira. Kung tamad na ginagawa ang mga anak na SA, ang kawalan ng anak na SA habang tahimik ay ang inaasahang kalagayan, at ang tunay na pagsubok ay kung may itinataas ang trapiko. Ang pagsubok na iyon ay naghihiwalay din ng tamad na disenyo sa tahimik na pagpalya, dahil ang nabigong paggawa ay nag-iiwan sa trigger na walang sagot sa halip na tahimik lamang.

Pagkatapos itanong ang daan ng datos

Kapag may anak na SA, sinasagot ng mga counter ang susunod na tanong. ip -s xfrm state ay nag-uulat ng bilang ng packet at byte bawat asosasyon, at isang anak na SA na walang dala habang gumagawa ka ng trapiko ay tumuturo sa pagtutugma o pagruruta sa halip na sa nawawalang asosasyon. swanctl --list-sas ay naglilimbag ng mga selector ng anak na SA sa tabi ng mga counter na iyon, at iyon ang nagpapatunay na ang packet ay nasa loob ng tinanggap na hanay.

Paghiwalayin sa ulat ang matagumpay na pagpapatotoo at ang nabigong palitan ng anak na SA. Ang ulat na nagsasabing nabigo ang pagpapatotoo ay nagpapadala sa susunod na inhinyero sa imbakan ng sertipiko, at ang eksaktong pangungusap ay mas maikli: umangat ang IKE SA, at ang anak na SA para sa daloy na ito ay hindi kailanman tinanggap.

Itugma ang dalawang dulo

Para sa server na ikaw mismo ang nagpapatakbo, kunin ang mga log ng kliyente at gateway para sa parehong palitan sa halip na ihambing ang dalawang pagtatangkang muling kumonekta na isang oras ang layo. Dapat magtugma ang mga abiso sa dalawang panig, at kung saan hindi nagtutugma, natagpuan mo ang panig na maling naka-configure.

Ayusin ang negosasyon ng anak na SA, pagkatapos ay subukan muli gamit ang trapiko sa loob ng nilalayong selector. Ito ang tanging pagsubok na nagpapatunay na ang nawawalang bagay ay naroroon na, dahil ang listahan ng asosasyon na na-refresh habang tahimik ay maaaring magmukhang pareho bago at pagkatapos ng pagwawasto.