Duplikaat-IKE-pakkette: vind die ontbrekende oorgang
'n Herhaalde IKE-versoek is 'n tydhouergebeurtenis, nie 'n diagnose nie. Bou een bewysketting van inisieerder tot antwoord, met die regte weergawe-identifiseerders.
Die log toon dieselfde IKE-versoek twee keer, iemand wys na die mobiele opstuurverbinding, en die kaartjie sluit met 'n raaiskoot. Daardie raaiskoot is die mite: 'n herhaalde pakket is 'n waarneming oor een uitruiling, nie 'n diagnose van 'n skakel nie. Heruitsending is normale gedrag met sy eie reëls, en dit verskyn op gesonde paaie wanneer 'n antwoord stadig is. Volg die antwoord voordat jy 'n koppelvlak blameer.
Die mite: 'n herhaalde versoek bewys verlies op een skakel
Twee verskillende dinge produseer 'n duplikaat, en nie een daarvan noem 'n skuldige nie. Die versoeker kan 'n versoek herhaal omdat dit geen antwoord ontvang het nie, of die vasleggingspunt kan dieselfde pakket twee keer wys weens waar dit aan die stapel geheg is. 'n Aftakking wat inkomende en uitgaande verkeer op dieselfde gasheer sien, sal een pakket met graagte as twee log, en die operateur wat daardie log lees het geen manier om die verskil te sien sonder die uitruilingsidentifiseerders nie. Behandel die duplikaat as 'n tydhouergebeurtenis totdat jy kan sê watter van die twee jy in die hand het.
Twee opstuurverbindings maak die verwarring erger eerder as beter. 'n Enkele logreel noem een koppelvlak, terwyl die antwoord dalk deur die ander een vertrek het, so die koppelvlak in die boodskap beskryf waar 'n pakket gesien is en nie die vorm van die gesprek nie. Dit is ook hoekom die eerste vraag is watter uitruiling jy bekyk, nie watter skakel foutief is nie.
Wat die heruitsending jou werklik vertel
In IKEv2 werk heruitsending so: die versoeker herhaal 'n versoek wanneer geen antwoord opgedaag het nie, en die antwoorder kan sy gekaste antwoord weer stuur in plaas daarvan om een te herbereken. Boodskapidentifiseerders behoort aan daardie uitruiling, en dit is wat 'n herhaalde versoek met dieselfde identifiseerder herkenbaar maak as die protokol wat werk eerder as 'n nuwe poging. 'n Aanvanklike poging benodig dikwels meer as 'n bronadres of 'n inisieerder-SPI om te korreleer, so die platform se eie uitruilingsrekord is beter as 'n pakketlys. IKEv1 volg verskillende reëls met verskillende identifiseerders, en 'n handelaarswaarskuwing oor 'n duplikaat-eerste-pakket beteken nie dieselfde oor weergawes heen nie.
Dus 'n heruitsendingstydstempel vertel jou dat 'n tydhouer verstryk het. Dit vertel jou nie watter hop stadig was nie, en dit vertel beslis nie dat die netwerkverskaffer skuld het nie. Dit is aparte bewerings, en net die tweede een is nuttig in 'n kaartjie.
Die praktiese gevolg is om die uitruiling op te teken voordat jy 'n gevolgtrekking maak. Noteer die plaaslike ontvangsadres, die antwoordpad wat die beleid gekies het, die eweknie-tupel en die uitruilingsidentifiseerders op een plek, want elkeen daarvan beantwoord 'n ander vraag wanneer die rekord later gelees word.
Vier waarnemingspunte as een ketting
Dink aan die uitruiling as vier skakels in 'n ketting eerder as vier afsonderlike plekke om te kyk. 'n Skakel hou bewyse of dit bly onbekend, en die ketting is net so insiggewend as sy swakste opgetekende skakel. Die tabel hieronder is die inventaris: wat elke posisie kan vasstel, en wat dit onaangeraak laat.
| Posisie | Bewyse wat dit kan lewer | Wat dit oop laat |
|---|---|---|
| Inisieerder stuur | 'n Versoek het hierdie gasheer verlaat | Of dit die eweknie bereik het |
| Antwoorder ontvang | Die versoek het aangekom | Of 'n antwoord geproduseer is |
| Antwoorder stuur | 'n Antwoord het die poort verlaat | Of dit die bedoelde pad gevolg het |
| Inisieerder ontvang | Die uitruiling is voltooi | Of die beleid die resultaat aanvaar het |
Vul die ketting net waar jy toegang het, en merk die res onbekend eerder as om dit af te lei. 'n Haak wat pakkette op een masjien opneem, se niks oor wat die verre masjien ontvang het nie, en 'n logreel wat sê dat 'n versoek gesien is, is nie bewys dat 'n antwoord ooit vertrek het nie. Eerlike gapings is nuttiger as 'n volledig-lykende rekord wat uit raaiskote gebou is.
Vind die eerste ontbrekende oorgang
Stap die ketting van die inisieerder uitwaarts en stop by die eerste skakel sonder bewyse. As die poort nooit die versoek log nie, sit die fout op die pad voor dit. Wanneer die poort dieselfde versoek herhaaldelik log terwyl die kliënt nooit 'n antwoord log nie, is die terugrigting die verdagte: bronadres, vertaling en filtering by elke grens wat jy beheer. As die antwoord aankom en die kliënt steeds nie verder gaan nie, het die vraag vervoer verlaat en beleid of toestand geword.
Hou die eweknie en die protokol vas terwyl jy vergelyk, en onthou dat vertraging, verlies, beleid en toestand elk 'n ander tydlyn produseer. 'n Mobiele netwerk is nie outomaties die oorsaak nie, en 'n vaste lyn is nie outomaties betroubaar genoeg vir elke vereiste nie. Neem beide rigtings op terwyl die uitruiling lewendig is:
tcpdump -ni any -vv 'udp port 500 or udp port 4500'Wanneer toegang voor die verre punt stop, help die rekord steeds as dit se waar dit stop. 'n Opname net op die inisieerder kan wys dat 'n versoek vertrek en geen antwoord aankom nie, wat die fout vernou tot alles na daardie haak sonder om voor te gee dat jy weet watter hop dit laat val het. Merk die verre skakels onbekend en laat die volgende persoon met toegang dit invul. Om dit so neer te skryf hou die rekord eerlik en steeds kort.
Vergelyk voordat jy enigiets verander. Om dieselfde versoek teen dieselfde eweknie met dieselfde protokol te herhaal, hou die veranderlikes telbaar, terwyl 'n herstel, 'n herleuteling of 'n beleidswysiging tussen opnames die vergelyking vernietig. As 'n verandering onvermydelik is, neem dadelik daarna weer op sodat die voor en na steeds dieselfde uitruiling beskryf.
Wat 'n nuttige verslag se
'n Verslag wat die moeite werd is om op te tree, koppel een versoek aan sy antwoord en noem die eerste stap waarvoor daar geen bewyse is nie. Daardie sin oorleef gelees te word 'n week later deur 'n ingenieur wat nie daar was nie, en dit gee die volgende persoon 'n plek om te begin eerder as 'n verdagte.
Verswak nooit identiteitskontroles of verbreed die toegelate protokolstel net om 'n heruitsendingsteorie te toets nie. Stoor die oorspronklike pakkette en gebeurtenisrekords voor enige herstel, want 'n herstel vernietig juis die materiaal wat jy op die punt was om in te samel en wis die tydsberekening wat gewys het waar die uitruiling vasgehaak het.
Die mite is dat een duplikaat bewys dat 'n netwerkverskaffer skuld het. Die werklikheid is dat een duplikaat bewys dat 'n tydhouer verstryk het, en die antwoord le op die antwoordpad.