IKEv2 bitta qoʻl berish emas: IKE SA, autentifikatsiya, soʻngra CHILD SA
Shlyuzning javobi yetib borishni isbotlaydi, shaxsni emas. IKE_SA_INIT, IKE_AUTH va birinchi CHILD SA ni kuzatib, trafik oqishidan oldin nima toʻgʻri boʻlishi kerakligini tekshiring.
IKEv2 ulanishi trafigingiz shifrlanishi bilan tugaydigan bitta almashinuv deb oʻylashingiz mumkin. Aslida kamida ikkita, va birinchisi hech kimni autentifikatsiya qilmaydi. Tomonlar boshqaruv xabarlaridan boshlaydi, kriptografik parametrlar boʻyicha kelishadi, shaxsni isbotlaydi va shundan keyingina dastur paketlarini tashuvchi holatni kelishib oladi. Aynan shu tartib odamlar doim aytadigan nomuvofiqlikni tushuntiradi: shlyuz javob beradi, mijoz ulangan deb koʻrsatadi, xususiy dastur esa baribir vaqt tugashiga uchraydi. Har bir bosqich aslida nima qiladi va undan keyin nima toʻgʻri boʻlishi kerakligi quyida.
Afsona: shlyuz javob bersa, siz ulangansiz
Birinchi xabarga javob oxirgi nuqta yetib borish mumkinligini va gapirishga tayyorligini isbotlaydi. Hisob qabul qilinganini, sertifikatlar zanjiri tekshirilganini yoki biron maʼlumot siyosati oʻrnatilganini isbotlamaydi.
Bu nosozliklar keyinroq yuz beradi va boshqa belgilar beradi. Sertifikat rad etilishi yoki EAP xatosi birinchi almashinuv allaqachon muvaffaqiyatli boʻlgandan keyin keladi, shuning uchun UDP 500 ga ping va yashil mijoz belgisi juda oz narsa aytadi.
IKE_SA_INIT: parametrlarda kelishing, shaxsda emas
Birinchi almashinuv IKE xavfsizlik assotsiatsiyasi uchun takliflarni tashiydi: shifrlash va yaxlitlik algoritmlari, psevd tasodifiy funksiya va Diffie-Hellman guruhi. Tomonlar nonce qiymatlarini ham almashadi, va har bir tomon IKE SA uchun kalit materialini shu qiymatlar hosil qiladigan umumiy sirdan oladi. Bu almashinuvda hech narsa ikkinchi tomon kimligini aniqlamaydi. Faqat ikkala tomon bir xil kalitlarni hisoblay olishini va bitta taklifga rozi ekanini aniqlaydi. Hech bir taklif yoqmaydigan javob beruvchi almashinuvni shu yerda rad etadi, shuning uchun versiya yoki algoritm nomuvofiqligi server ishlamayotgandek koʻrinadi.
Shu nuqtada yaratilgan IKE SA keyingi barcha boshqaruv almashinuvlarini himoya qiladi. Bu uning ishi, va bu sizning paketlaringizni himoya qilishdan boshqa ish.
IKE_AUTH: shaxsni isbotlang, soʻngra birinchi CHILD SA ni quring
Ikkinchi almashinuv shaxsni tashiydi. Sertifikatlar bilan har bir tomon oʻz xususiy kaliti bilan imzo qoʻyadi va ikkinchi tomon tekshirishi kerak boʻlgan zanjirni taqdim etadi; EAP bilan javob beruvchi tanlangan usul orqali boshlovchiga sinov yuboradi. Notoʻgʻri server nomi, muddati oʻtgan sertifikat yoki rad etilgan parol nihoyat shu yerda koʻrinadi.
Odatda IKE_AUTH birinchi CHILD SA ni ham kelishadi, shuning uchun maʼlumot himoyasi shu bir borish-kelishda kelishiladi. Boshlovchi trafik selektorlarini taklif qiladi, javob beruvchi ularni toraytiradi yoki rad etadi, maʼlumot yoʻlining kalitlari esa IKE SA dan olinadi. Demak, bitta almashinuv ikki juda boshqa joyda muvaffaqiyatsiz boʻlishi mumkin: shaxsda yoki siyosatda. Umumiy qoʻl berish xatosi oʻrniga bildirishnoma yuklamasi yoki xatoni oʻqing, chunki birining davosi sertifikat, ikkinchisiniki quyi tarmoq nomuvofiqligi.
Ikki SA, ikki ish
| Assotsiatsiya | Himoya qiladi | Umr muddati xatti-harakati |
|---|---|---|
| IKE SA | Boshqaruv almashinuvlari: kalitlarni yangilash, oʻchirish, konfiguratsiya yuklamalari | Oʻz jadvali boʻyicha yangilanadi; maʼlumot yoʻli oʻzgarishdan omon qolishi mumkin |
| CHILD SA | Trafik selektorlariga mos dastur trafigi | Mustaqil yangilanadi, koʻpincha tez-tez |
Ularni ajratish xatoga oʻxshaydigan ikki xatti-harakatni tushuntiradi. Tunnel oʻrnatilgan koʻrinishi mumkin, orqa fonda kalit yangilash muvaffaqiyatsiz boʻlsa, va CHILD SA mijoz aloqani yoʻqotmasdan almashtirilishi mumkin.
strongSwan da IKEv2 konfiguratsiya maʼlumotnomasi va swanctl --list-sas ikki darajani ham koʻrsatadi, ip xfrm state bilan ip xfrm policy esa yadro aslida nima oʻrnatganini koʻrsatadi. Bu ikki koʻrinishni solishtirish muzokara tugadimi yoki faqat tugagandek koʻrindimi, bilishning eng tez yoʻli. Agar daemon yadroda holati boʻlmagan CHILD SA ni sanasa, oʻrnatish jimgina muvaffaqiyatsiz boʻlgan. Agar yadro daemon bilmaydigan holatni saqlasa, siz oldingi urinishning qoldigʻini koʻryapsiz.
Tunnel koʻtarilgandan keyin ham nima toʻgʻri boʻlishi kerak
Trafik selektorlari qaysi manzillar qamrab olinganini belgilaydi. Agar mijoz bitta quyi tarmoqni taklif qilsa, server boshqasini kutsa, CHILD SA oʻrnatiladi, lekin foydali hech narsa tashimaydi, va xato muzokara emas, marshrutlash muammosi sifatida koʻrinadi. Keyin mahalliy stek hamkorlik qilishi kerak: xost marshrutlaydigan joyda uzatish yoqilgan, tunnelga yoʻnaltirilgan marshrutlar, dekapsulyatsiya qilingan paketlarga ruxsat beruvchi xavfsizlik devori qoidalari va xususiy nomlar qatnashsa ichki rezolver. Ularning har biri alohida muvaffaqiyatsiz boʻladi va hech biri IKE daemonini qayta ishga tushirish bilan tuzalmaydi.
Diagnostika paytida jurnalni koʻrinadigan holda saqlang: boshlangʻich almashinuv, keyin shaxsni tekshirish, keyin qoʻllaniladigan joyda foydalanuvchi autentifikatsiyasi, keyin CHILD oʻrnatish va oxirida dastur trafigi. Toʻxtaydigan bosqich — tuzatilishi kerak boʻlgan bosqich, va keyingi marshrutlash xatosi hech qachon allaqachon oʻtgan shaxs tekshiruvlarini boʻshashtirishga sabab emas.