IKE SA o'rnatildi, CHILD SA yo'q: ma'lumot qayerda to'xtaydi

Mijoz autentifikatsiya o'tganini aytadi, IKE holati sog'lom ko'rinadi, paket hisoblagichlari esa nolda qoladi. Bu birikma qarama-qarshilik emas: IKEv2 boshqaruv munosabati va ma'lumot munosabatini alohida saqlaydi, va birinchisi muvaffaqiyatli bo'lishi mumkin, ikkinchisi esa hech qachon ko'tarilmaydi. Ota-ona muzokarani olib boradi; bola trafikni olib yuradi. Tunnelni ishlamay qolgan deb atashdan oldin ikki qatlamni alohida o'qing.

Ikki SA nima qiladi

IKE SA boshqaruv munosabati: tomonlarni autentifikatsiya qiladi va himoyani kelishadigan, almashtiradigan va olib tashlaydigan almashinuvlarni olib boradi. U ilova paketlaringizni hech qachon olib yurmaydi. Shuning uchun sog'lom ota-ona faqat ikki uchi xavfsizlik siyosati bo'yicha kelisha olishini isbotlaydi, undan boshqa hech narsani emas.

CHILD SA ma'lumot munosabati bo'lib, ota-ona ostida yaratiladi, bitta himoyalangan to'plam uchun trafik selektorlari va kalit materiali bilan. U yo'nalishli, shuning uchun holat chiqishi kiruvchi va chiquvchi assotsiatsiyani alohida identifikatorlar bilan, odatda har bir yo'nalish uchun alohida hisoblagichlar bilan sanaydi. Aynan shu juftlik bir yo'nalish ishlab, ikkinchisi yiqilishining va tunnel ko'tarilgan degan iboraning trafik haqida hech narsa demasligining sababidir. Bitta ota-ona bir nechta bolani ham ushlab turishi mumkin, va shu bilan bitta ulanish yorlig'i sizga kerakli bolani yashiradi.

Ulanish yorlig'ini emas, bola yozuvlarini o'qing

Ota-ona holati va bolalar ro'yxatini birga oching va selektorlari siz sinayotgan oqimga mos keladigan bolani toping. Uning trafik selektorlarini, kelishilgan algoritmlarni, umrini va ikkala yo'nalishdagi hisoblagichlarni yozib oling. Agar bir nechta bola bo'lsa, o'rin bo'yicha emas, selektorlar bo'yicha moslashtiring, chunki kalit yangilangandan keyin o'rin o'zgaradi. Biror narsani o'zgartirishdan oldin identifikatorlarni yozib qo'ying.

Agar ota-ona siz sinayotgan to'plamdan boshqa trafik to'plamini sanasa, siz noto'g'ri bolani o'qiyapsiz. Bu selektorlar muammosi, buzilgan tunnel emas.

Vaqt belgilarini ham yozib oling. Kalit yangilanishi bir qatlamni almashtirishi mumkin, ikkinchisi esa o'rnatilgan holda qoladi, va yangi ko'ringan bola siz kuzatayotgan bolaning o'rnini bosgan bo'lishi mumkin. Bola yo'qoldi degan xulosaga kelishdan oldin identifikatorlarni solishtiring.

Hech qanday bola bo'lmaganda

Ma'lumot taklifi yoki selektorlar ishlamay qolganda ham autentifikatsiya muvaffaqiyatli bo'lishi mumkin, va ota-ona umuman bolasiz qoladi. Odatiy sabab algoritmlar mos kelmasligi yoki trafik selektorlari mos kelmasligi, va ikkala tomon ham rad etilgan taklifni jurnalga yozadi. Ikkala uchni ham o'qing, chunki siz yetib boradigan tomon faqat rad etishni ko'rsatishi mumkin. Ota-onani qayta ishga tushirish o'rniga nomuvofiqlikni tuzating, chunki bu o'sha muvaffaqiyatsiz muzokarani takrorlab, dalilga yana bir uzilish qo'shadi.

Doim qaytadan o'rnatiladigan ota-ona bolasiz turadigan ota-onadan boshqa nosozlik. Ikkinchi holatda jurnallar rad etilgan taklifni nomlaydi, shuning uchun siyosatni tahrirlashdan oldin o'sha taklifni ikkala uchdan to'plang.

Bola bor, lekin hisoblagichlar nolda qolganda

Bola selektorlariga mos yangi so'rov yuboring. O'sha siyosatdan tashqaridagi manzilga so'rov qanchalik muvaffaqiyatli ko'rinmasin, uning hisoblagichlarini qimirlatmaydi.

Oqimni tunnelga itarishi kerak bo'lgan marshrutni tekshiring, chunki trafiksiz bola ko'pincha hech narsa yo'naltirilmagan boladir. Faqat bir yo'nalishda harakatlanadigan hisoblagichlar qaytish yo'lidagi selektor yoki siyosat nomuvofiqligini ko'rsatadi. Mahalliy tomonni tegishdan oldin uzoq tomonning qaytish selektorlariga qarang. Yangi so'rov ikkala uchning holat chiqishi bilan solishtirish uchun vaqt belgisini ham beradi.

Hisobotda qatlamni nomlang

Nosozlikni hukm emas, uchta maydon sifatida xabar bering: ishlamay qolgan qatlam, siz tekshirgan almashinuv yoki bola, va qo'lingizdagi dalil. Qatlam uchtadan biri: ota-ona hech qachon o'rnatilmadi, bolaning muzokarasi rad etildi, yoki bola bor va trafik unga yetib bormaydi. Dalil — selektorlari va hisoblagichlari bilan bola identifikatori yoki ikkala jurnaldan iqtibos qilingan rad etilgan taklif. Buni o'qigan har kim qaysi VPN nazarda tutilganini so'ramasdan muhim almashinuvga to'g'ridan-to'g'ri o'tishi mumkin.

strongSwan IKEv2 hujjatlari bu qatlamlarning holat chiqishida qanday ko'rinishini ko'rsatadi. Faqat ota-ona xulosasini emas, siz sinagan bola chiqishini ham ilova qiling.