IKE SA kuruldu, CHILD SA yok: veri nerede durur

İstemci kimlik doğrulamasının geçtiğini söylüyor, IKE durumu sağlıklı görünüyor ve paket sayaçları sıfırda kalıyor. Bu bileşim bir çelişki değil: IKEv2 kontrol ilişkisi ile veri ilişkisini ayrı tutar, ve birincisi başarılı olabilirken ikincisi hiç ayağa kalkmayabilir. Ebeveyn görüşmeyi yürütür; çocuk trafiği taşır. Tüneli bozuk ilan etmeden önce iki katmanı ayrı ayrı okuyun.

İki SA ne yapar

IKE SA kontrol ilişkisidir: tarafları doğrular ve korumayı müzakere eden, değiştiren ve kaldıran alışverişleri taşır. Uygulama paketlerinizi asla taşımaz. Bu yüzden sağlıklı bir ebeveyn yalnızca iki ucun güvenlik politikasında anlaşabildiğini kanıtlar, daha fazlasını değil.

CHILD SA, ebeveynin altında oluşturulan, tek bir korunan küme için trafik seçicileri ve anahtar malzemesi taşıyan veri ilişkisidir. Yönlüdür, bu yüzden durum çıktısı gelen ve giden ilişkiyi ayrı tanımlayıcılarla ve genellikle her yön için ayrı sayaçlarla listeler. Bu eşleşme, bir yön çalışırken diğerinin düşmesinin ve tünel ayakta ifadesinin trafik hakkında hiçbir şey söylememesinin nedenidir. Bir ebeveyn birkaç çocuk da tutabilir ve böylece tek bir bağlantı etiketi ihtiyacınız olanı gizler.

Bağlantı etiketini değil, çocuk girdilerini okuyun

Ebeveyn durumunu ve çocuk listesini birlikte açın ve seçicileri test ettiğiniz akışa uyan çocuğu bulun. Trafik seçicilerini, anlaşılan algoritmaları, ömrünü ve her iki yöndeki sayaçları not edin. Birden çok çocuk varsa konuma göre değil seçicilere göre eşleştirin, çünkü anahtar yenilendikten sonra konum değişir. Bir şeyi değiştirmeden önce tanımlayıcıları yazın.

Ebeveyn test ettiğinizden farklı bir trafik kümesi listeliyorsa yanlış çocuğu okuyorsunuz. Bu bir seçici sorunu, bozuk tünel değil.

Zaman damgalarını da kaydedin. Bir anahtar yenilemesi bir katmanı değiştirirken diğeri kurulu kalabilir ve yeni görünen bir çocuk izlediğinizin yerine geçmiş olabilir. Bir çocuğun kaybolduğu sonucuna varmadan önce tanımlayıcıları karşılaştırın.

Hiç çocuk yokken

Veri teklifi veya seçiciler başarısız olurken kimlik doğrulama başarılı olabilir ve ebeveyn hiç çocuksuz kalır. Olağan neden bir algoritma uyuşmazlığı veya trafik seçicisi uyuşmazlığıdır ve iki taraf da reddedilen teklifi günlüğe yazar. İki ucu da okuyun, çünkü ulaştığınız taraf yalnızca reddi gösterebilir. Ebeveyni yeniden başlatmak yerine uyuşmazlığı düzeltin, çünkü bu aynı başarısız görüşmeyi yineler ve kanıtlara bir kesinti daha ekler.

Sürekli yeniden kurulan bir ebeveyn, çocuksuz ayakta kalan bir ebeveynden farklı bir arızadır. İkinci durumda günlükler reddedilen teklifi adlandırır, bu yüzden bir politikayı düzenlemeden önce o teklifi iki uçtan toplayın.

Çocuk var ama sayaçlar sıfırda kalıyorsa

Çocuğun seçicilerine uyan yeni bir istek gönderin. O politikanın dışındaki bir hedefe giden istek, ne kadar başarılı görünürse görünsün sayaçlarını hareket ettirmez.

Akışı tünele itmesi gereken rotayı kontrol edin, çünkü trafiği olmayan bir çocuk çoğu zaman hiçbir şeyin yönlendirilmediği çocuktur. Yalnızca tek yönde hareket eden sayaçlar, dönüş yolundaki bir seçici veya politika uyuşmazlığına işaret eder. Yerel tarafa dokunmadan önce uzak tarafın dönüş seçicilerine bakın. Yeni bir istek ayrıca iki ucun durum çıktısıyla karşılaştıracağınız bir zaman damgası verir.

Raporda katmanı adlandırın

Arızayı bir hüküm değil üç alan olarak bildirin: başarısız olan katman, incelediğiniz alışveriş veya çocuk ve elinizdeki kanıt. Katman üçten biridir: ebeveyn hiç kurulmadı, çocuk görüşmesi reddedildi veya bir çocuk var ve trafik ona ulaşmıyor. Kanıt, seçicileri ve sayaçlarıyla çocuk tanımlayıcısı ya da iki günlükten alıntılanan reddedilmiş tekliftir. Bunu okuyan herkes hangi VPN'i kastettiğinizi sormadan doğrudan önemli alışverişe gidebilir.

strongSwan IKEv2 belgeleri bu katmanların durum çıktısında nasıl göründüğünü gösterir. Yalnızca ebeveyn özetini değil, test ettiğiniz çocuk çıktısını da ekleyin.