DPD-antwoorde bewys dat die IKE-eweknie leef, nie dat jou data vloei nie
Lewendigheidsantwoorde, ’n opvullingskennisgewing en vernoude keurders beskryf drie verskillende dinge. Lees hulle afsonderlik voordat jy een vir ’n staking blameer.
IPsec-logboeke kan lewendigheidsantwoorde wys terwyl die toepassing voor hulle stilstaan, en albei feite kan gelyktydig waar wees. ’n DPD-antwoord bevestig dat die eweknie se IKE-verwerking op daardie oomblik geantwoord het; dit sê niks oor of die kind-SA die pakkie dra wat jy nodig het nie. Om elke waarskuwing naby ’n onderbreking as die oorsaak daarvan te behandel, is hoe ’n keurderprobleem as ’n protokoldefek gediagnoseer word. Drie waarnemings word die meeste verwar, en hulle beantwoord drie verskillende vrae. Lees hulle volgens verband en doel voordat jy hulle volgens tydstempel lees.
Wat elke waarneming bewys
Die tabel skei wat elke waarneming bevestig van wat dit bloot vergesel.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Nie een van die drie is op sigself ’n fout nie. Elkeen word eers interessant langs die vloei wat jy ontfout, en ’n ry wat nie aan ’n spesifieke vloei gekoppel kan word nie, is konteks eerder as bewys.
Lewendigheid is nie datagesondheid nie
DPD loop as ’n INFORMATIONAL-uitruiling, ’n beheervlakgesprek tussen IKE-daemone. ’n Antwoord bewys dat die eweknie se IKE-proses bereikbaar is en gewillig is om te antwoord, en ’n tydverstryking bewys dat dit nie so is nie. Nie een van die resultate toets die kind-SA, die keurders, die aanstuurpad of die toepassing se antwoord nie, so gesonde DPD saam met ’n stilstaande oordrag is ’n samehangende prentjie eerder as ’n teenstrydigheid.
Daarom is die lewendigheidsreëls die mins nuttige deel van ’n datavlakkaartjie, hoe gerusstellend hulle ook al boaan die log lyk.
Die opvullingskennisgewing is ’n stelling oor opvulling
TFC-opvulling is die reël wat die meeste oorgelees word in hierdie logboeke. Dit sê dat verkeersvloei-vertroulikheid-opvulling nie vir daardie kind-SA aanvaar sal word nie, wat ’n stelling oor ’n opsionele opvullingsfunksie is eerder as ’n verwerping van ESP-beskerming. Om dit naby ’n fout te vind, is gewoonlik ’n toevalligheid van breedsprakigheid, en om opvulling aan of af te skakel verander niks aan keurderdekking nie.
Die IKEv2-spesifikasie definieer beide die kennisgewing en die keurderonderhandeling, en ’n implementering se waarskuwingsetiket vervang in geen van die twee gevalle die protokolbetekenis nie.
Vernouing is stiller en waarskynlik belangriker
’n Beantwoorder mag ’n subset van die aangebode keurders aanvaar, en die aanvaarde stel kan oor verskeie inskrywings gedruk word, een poortgekwalifiseer en ’n ander wat alle poorte dek. Om net die eerste poortgekwalifiseerde reël te lees, onderskat wat aanvaar is; om net die breë reël te lees, oorskat dit. Vergelyk die gedrukte voorstel met die geïnstalleerde beleid, want die voorstel is wat die eweknieë gesê het en die beleid is wat die kern sal pas. Wanneer hulle verskil, bestaan die tonnel en die verkeer nie, wat die klassieke sporadiese klagte is. Draai die plaaslike en afgeleë perspektief om wanneer jy eweknieë vergelyk, want elke kant se plaaslike is die ander se afgeleë.
Gasheer-spesifieke inskrywings met ’n poortbeperking is werd om twee keer te lees, want dit is diegene wat ICMP of ’n tweede poort uitsluit terwyl ’n ping na die gateway bly werk.
Bou een rekord vir die falende vloei
Teken bron, bestemming, adresfamilie, protokol en poort aan soos gesien by die beskermingsbesluit, insluitend enige doelbewuste vertaling. Dit is die waardes wat ’n keurder moet pas, en dit is ook die waardes wat mense uit die geheue oortik wanneer die kaartjie by ’n derde paar hande uitkom.
Identifiseer dan die kind-SA en sy rigtinggebonde tellers: swanctl --list-sas gee die assosiasie-opsomming op ’n strongSwan-gasheer, en ip -s xfrm state gee die tellers. Lees hulle ná ’n vars toegelate versoek eerder as terwyl die stelsel ledig is. Geen toename in uitgaande verkeer dui op seleksie of die plaaslike pad nie; uitgaande sonder ’n ooreenstemmende inkomende dui op die eweknie, sy aanstuur of sy antwoorde.
’n Voltooide toepassingsuitruiling weeg swaarder as enige van die tellers, en daarom moet die toets by die toepassing eindig eerder as by die tonnelaanwyser.
Kies daarna die regstelling
Eers nadat daardie rekord bestaan, is daar ’n regstelling om te kies: aanvaarde keurders, roete, filter, eweknie-implementering, of ’n grens wat jy nou gedemonstreer het. Om die eweknie terug te stel verander verskeie state gelyktydig en herstel dikwels verkeer sonder om te verduidelik watter een verkeerd was, so die onderbreking keer terug. Hou ook kernstate-dumps uit kaartjies, want hulle kan sleutels bevat en die nou opsomming is genoeg vir enigiemand wat wil help.
Wanneer die rekord jou eerste teorie weerspreek, glo die rekord en herskryf die teorie; daardie gewoonte is meer werd as enige enkele logreël wat hier bespreek is.