IKEv2 SA'nız ayakta ama alt SA yok: değişimi okuyun

IKE tünelin ayakta olduğunu, alt SA'nın eksik olduğunu söyler ve iki ifade aynı anda doğru olabilir. Kurulmuş denetim ilişkisi bir veri ilişkilendirmesi değildir ve iki nesnenin ömrü, müzakereleri ve hata biçimleri ayrıdır. İlkini bağlantı olarak bildirmek, biletin sonunda tünelin ayakta olduğunu ama hiçbir şeyin çalışmadığını iddia etmesine yol açar. Bağlantının özet etiketi yerine ilişkilendirme listesini okuyun, çünkü eksik nesne yalnızca o listede görünür. Aşağıdakiler, listenin anlam kazandığı sıradır.

İki ilişkilendirme, iki iş

IKE SA denetim kanalını taşır: kimlikler, anahtarlar ve denetim değişiminin kendisi için öneriler. Alt SA, ESP korumasını kendi algoritmaları ve kendi trafik seçicileriyle taşır. Kimlik doğrulama ve alt SA oluşturma genellikle birlikte gider, çünkü ilk alt SA IKE_AUTH içinde müzakere edilir ve insanları bu ayrım karşısında şaşırtan tam olarak bu birleşmedir.

Bu aynı zamanda karşılaşacağınız iki hata biçimini de açıklar. İlk değişim sırasında reddedilen bir alt SA genellikle IKE SA'yı da beraberinde düşürür, bu yüzden kurulmuş bir denetim kanalı hiç görmezsiniz. Tek başına duran bir IKE SA daha sık olarak ilk alt SA'nın başarılı olduğunu ve sonraki bir alt SA oluşturma girişiminin başarısız olduğunu gösterir, örneğin anahtar yenilemede. Zaman damgaları bu durumları herhangi bir yapılandırma incelemesinden daha hızlı ayırır.

Hangi katman reddetti

Bir alt SA reddedildiğinde bildirim katmanı adlandırır. Önerinin reddi, tarafların algoritmalar üzerinde anlaşamadığı anlamına gelir; çoğu zaman biri farklı bir tam ileri gizlilik grubu veya diğerinin kabul etmeyeceği bir şifreleme ister. Seçicinin reddi, trafik kümesinin doğrudan reddedildiği anlamına gelir ve bu bir kapsam argümanıdır, kriptografik değil.

Bazen alt SA'nın olmaması tasarımın kendisidir. Alt SA'sı olmayan bir IKE SA, veri ilişkilendirmesinin istek üzerine oluşturulması gereken yerlerde kullanılan tanımlı bir uzantıdır, bu yüzden yokluk doğrudur ve eşleşen trafik geldiğinde alt SA ortaya çıkar. strongSwan'ın IKEv2 notları hem istek üzerine üslubu hem de ilk durumu belirleyen öneri ayarlarını kapsar.

Bir arızayı teşhis etmeden önce istek üzerine veya tuzak yapılandırması olup olmadığını kontrol edin. Alt SA'lar tembelce oluşturuluyorsa, boşta alt SA olmaması beklenen durumdur ve gerçek sınama trafiğin birini yükseltip yükseltmediğidir. Bu sınama tembel tasarımı sessiz hatadan da ayırır, çünkü başarısız oluşturma tetikleyiciyi yalnızca boşta değil yanıtsız bırakır.

Sonra veri yolunu sorun

Bir alt SA olduğunda sıradaki soruyu sayaçlar yanıtlar. ip -s xfrm state ilişkilendirme başına paket ve bayt sayılarını bildirir ve trafik üretirken hiçbir şey taşımayan bir alt SA eşleştirmeye veya yönlendirmeye işaret eder eksik bir ilişkilendirmeye değil. swanctl --list-sas alt SA'nın seçicilerini bu sayaçların yanında yazdırır ve paketin kabul edilen kümenin içinde olduğunu doğrulayan da budur.

Başarılı kimlik doğrulamayı ve başarısız alt SA değişimini raporda ayrı tutun. Kimlik doğrulamanın başarısız olduğunu söyleyen bir rapor sıradaki mühendisi sertifika deposuna gönderir ve doğru cümle çok daha kısadır: IKE SA ayağa kalktı ve bu akış için alt SA hiç kabul edilmedi.

İki ucu ilişkilendirin

Kendi çalıştırdığınız bir sunucu için bir saat arayla iki yeniden bağlanma denemesini karşılaştırmak yerine aynı değişimin istemci ve ağ geçidi günlüklerini alın. Bildirimler iki tarafta da eşleşmelidir ve eşleşmediği yerde yanlış yapılandırılmış tarafı bulmuşsunuzdur.

Alt SA müzakeresini düzeltin, ardından amaçlanan seçicinin içindeki trafikle yeniden test edin. Eksik nesnenin artık var olduğunu kanıtlayan tek test budur, çünkü boştayken yenilenen ilişkilendirme listesi düzeltmeden önce ve sonra aynı görünebilir.