IKEv2 se dooie-eweknie-opsporing toets nie jou program nie

IKEv2 se lewendigheidskontrole vra een vraag: antwoord die ander eweknie nog op die beskermde beheerverhouding. Dit meet nie of ’n interne program gesond is nie, of daar ’n roete agter die poort bestaan nie, of blaai vinnig voel nie. Die kontrole kan slaag terwyl elke nuttige ding agter die tonnel misluk.

Lees die twee soorte bewyse afsonderlik voordat jy ’n tydhouer verander.

Wat die lewendigheidskontrole werklik vra

’n Lewendigheidsuitruiling word binne die gevestigde IKE-sekuriteitsassosiasie gestuur en verwag ’n antwoord binne ’n bepaalde venster. Sukses beteken die eweknie se IKE-implementering is steeds daar en steeds bereid om te praat. Dit sê niks oor die kind-sekuriteitsassosiasies wat verkeer dra nie, niks oor roeteverkeer anderkant die poort nie, en niks oor die diens waarvoor jy die tonnel oopgemaak het nie. Dit is drie afsonderlike vrae met drie afsonderlike foutmodusse.

Daardie onderskeid bepaal waar jy kyk wanneer ’n sessie stil word. ’n Eweknie wat aanhou antwoord terwyl ’n datapad stukkend is, wys na beleid, roeteverkeer of ’n stroomaf diens. ’n Eweknie wat ophou antwoord, wys na bereikbaarheid of na die ver kant se eie toestand.

Lees die sekuriteitsassosiasies voor die blaaier

Die beheertoestand en die datatoestand word afsonderlik gelys sodra jy die daemon vra, en die tellers vertel of enigiets hoegenaamd geprobeer is. ’n Kind-assosiasie wat nooit geïnstalleer is nie, lyk heeltemal anders as een wat geïnstalleer het en toe opgehou pakkette deurgee het, al lewer albei dieselfde gebruikersklag.

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

Skryf die toestandname woordeliks in die kaartjie neer, saam met die tellers op die oomblik van die klag. ’n Beskrywing soos tonnel af verberg watter van die twee assosiasies geëindig het, en dit is gewoonlik die enigste feit wat die moeite werd is.

’n Roetefout lyk presies soos ’n dooie eweknie

Die poort kan beheeruitruilings antwoord terwyl ’n private bediener aflyn is, ’n deurgevoerde roete ontbreek, of interne naamresolusie heeltemal misluk. Vanuit die kliënt lyk elkeen daarvan soos ’n sessie wat op is en ’n bestemming wat nie is nie. Kyk net so noukeurig na die terugpad as na die vooruitpad, want asimmetriese roeteverkeer aan die ver kant veroorsaak stilte in net een rigting.

Toets die bedoelde program direk en noem die adres wat dit probeer het, eerder as om te toets of die tonnel op is. ’n Ping na die poort bewys die poort antwoord; dit het nooit bewys die program het dit gedoen nie. Teken die presiese adres aan wat die program probeer het. Daardie string vernou die soektog later, en dit is die een feit wat die kaartjie gewoonlik weglaat.

Hou tydhouers uit die diagnose

Om ’n opsporingstydperk te verkort is nie ’n werkverrigtingverandering nie en voeg nie kapasiteit by nie. Onder pakketverlies verander dit hoe vinnig ’n fout erken word, wat ’n simptoom anders kan laat lyk sonder om enigiets beter te maak. Teken eers die werklike tyd van die fout aan, en besluit dan of die verdraagsaamheid verkeerd is vir die skakel wat jy werklik het.

NAT-kaartverfrissings hoort in dieselfde kategorie. Hulle hou ’n vertaalde pad bruikbaar, en hulle is nie bewyse dat die afgeleë program werk nie.

’n Volledige herstelbeleid sê wat die kliënt moet doen wanneer ’n eweknie dood verklaar word: herbegin, sluit of hou, en wat ander verkeer mag doen terwyl dit gebeur. Sonder dit word dieselfde voorval elke kwartaal van nuuts af herdiagnoseer.