IPsec-kind-SA is op, maar die pakkettellers bly op nul

Jy het die tonnel opgetrek, die hersluitingstimer tel af, en albei rigtings wys steeds nul pakkette. Daardie paar syfers sê niks daaroor dat die eweknie jou tonnel verwerp het nie: 'n geïnstalleerde CHILD SA met stil tellers is die normale toestand van 'n assosiasie wat nog niks gepas het nie. Die werk is om te bewys dat 'n pakket moes gepas het en dan die punt te vind waar dit die pad verlaat het wat die keurders beskryf. Doen dit een keer, in orde, en hou die versoek identies tussen lopies.

Wat 'n nul-teller werklik bewys

'n CHILD SA is 'n keurderpaar plus die sleutels en SPI's wat verkeer binne daardie reekse versleutel. Om een te installeer beteken net dat albei eweknieë oor daardie reekse en afgeleide sleutels ooreengekom het; die kern hou dit vir ure sonder dat 'n enkele pakket aankom. Die vraag is dus nooit of die tonnel bestaan nie, maar of enige pakket wat jou toets gestuur het binne die reekse geval het wat die twee eweknieë beding het. Het niks dit gedoen nie, bly die tellers op nul en verval die assosiasie ongebruik aan die einde van sy leeftyd.

Daardie onderskeid verander wat jy eerste ondersoek. 'n Verwerpte voorstel, 'n mislukte verifikasie of 'n sterwende IKE SA kom almal in die log of in die SA-lys na vore, nie as 'n stil nul nie. 'n Tonnel wat skoon beding en dan stil bly, wys eerder op passing, roetering of die oorsprong van die toetsverkeer.

Stuur 'n vloei wat jy kan beskryf voordat jy dit stuur

Kies 'n bestemming binne die beskermde subnet en maak 'n nuwe verbinding daarheen oop; 'n bladsy wat jy 'n uur gelede gelaai het, kan uit die kas gelewer word, en 'n gekaste antwoord raak nooit die tonnel nie. Skryf dan vier waardes neer terwyl die versoek nog hipoteties is: die bronadres wat die toepassing sal bind, die bestemming, die adresfamilie en die naam of keurderpaar van die kind wat jy dophou. Daardie rekord is wat 'n plat teller in 'n toetsbare bewering omskep.

Die bronadres is die waarde wat mense oorslaan, en dit is die een wat die toets die meeste laat misluk. 'n Skootrekenaar met 'n bedrade adres, 'n Wi-Fi-adres en 'n tonneladres kan enigeen daarvan bind na gelang van die roetesoektog, en net een mag binne die bedingde reeks lê. Gebruik 'n werktuig wat jou die bron laat vaspen, soos ping -I 10.1.0.5 10.2.0.9 of curl --interface 10.1.0.5, sodat die pakket nie stilweg 'n ander adres kan kies nie. Wanneer die vasgepen lopie die tellers beweeg en die onvasgepen lopie nie, het jy 'n roeteringsprobleem gevind eerder as 'n IPsec-probleem.

Watter syfers om te lees, en waar hulle woon

Op Linux druk ip -s xfrm state elke assosiasie met 'n reël lifetime current: uit waarvan die greep- en pakkettotaal alleen aan daardie SA behoort, gevolg deur 'n reël stats: vir herspeel- en foutellings. Op 'n strongSwan-eweknie lys swanctl --list-sas een reël in en een reël out per geïnstalleerde kind, elkeen eindig in 'n greep- en 'n pakkettelling; die ouer stroke-gereedskap noem dieselfde paar bytes_i en bytes_o. Lees die twee rigtings afsonderlik, want die een wat plat gebly het, is die bevinding. Om hulle bymekaar te tel verberg juis die asimmetrie waarna jy soek.

Albei aansigte is per assosiasie, so 'n hersluiting installeer 'n vars SPI-paar en jou basislyn keer terug na nul sonder dat iets stukkend is. Teken die SPI aan wat jy dophou voordat die hersluitingstimer afgaan, anders vergelyk jy 'n nuwe SA met 'n ou syfer. As uitgaande styg terwyl inkomende plat bly, het die keurder gepas en die antwoord het nooit teruggekom nie, wat die ondersoek na die eweknie se aanstuur en sy eie beleid skuif. strongSwan se IKEv2-konfigurasiedokumentasie dek die kind-SA-lewensiklus en die hersluitingstyd agter daardie syfers.

Die waarnemingspunt is 'n aparte veranderlike van die pakket se oorsprong. 'n Hardeware-oorlaai kan die assosiasie se tellers verhoog terwyl 'n sagteware-opname op die koppelvlak niks wys nie, want oorlaaide pakkette slaan die haak oor waarop die opname sit, en inkomend kan dieselfde kant toe afwyk. Wanneer die twee verskil, gebruik die tellers om te antwoord of iets gepas het en die opname om te antwoord hoe die pakket gelyk het.

Roete, keurders en waar die pakket gebore is

Vergelyk drie dinge langs mekaar: die roete wat die kern vir jou bestemming kies, die beleid wat verkeer in die tonnel instuur, en die keurderpaar wat die kind beding het. ip route get 10.2.0.9 from 10.1.0.5 noem die koppelvlak en bron wat die kern sou gebruik, en dit is dikwels nie die paar wat jy aangeneem het nie. ip xfrm policy wys die sjablone en keurders wat plaaslik geïnstalleer is, terwyl swanctl --list-sas wys waaroor die eweknie ooreengekom het. 'n Soektog wat die pakket by die fisiese koppelvlak uitstuur, bereik die beleid glad nie, so die tellers kan nie beweeg nie.

Mismatches kom in verskeie soorte wat van 'n teller af identies lyk. 'n IPv6-bestemming buite 'n IPv4-keurder, 'n bronadres uit die verkeerde subnet en 'n beleid nouer as die kind lewer almal dieselfde nul. Maak eers die nouste oorsaak reg, want om 'n keurder net te verbreed om 'n syfer te skuif, verander wat die tonnel beskerm.

Dan is daar die pakket se oorsprong, die lokval wat 'n poort vir sy eie operateur stel. Verkeer wat die poort self genereer, word teen die uitvoerbeleid gepas, terwyl 'n pakket wat dit vir 'n kliënt aanstuur teen die aanstuurbeleid gepas word, so 'n ping vanaf die boks kan slaag op 'n pad wat geen kliënt ooit neem nie.

Een omkeerbare verandering en 'n verslag wat hersiening oorleef

Verander 'n enkele element, herhaal die identiese versoek en lees dieselfde tellers. Om elke firewallreël te skrap of alle keurders gelyktydig te vervang sal 'n syfer skuif en die bewyse vernietig wat jou vertel het waarom. As die tweede lopie steeds nul wys, het jy een hipotese uitgeskakel in plaas daarvan om die middag te mors.

Skryf die bevinding in 'n vorm wat iemand anders kan herhaal: kindnaam, aanvaarde reekse, die bron wat jy vasgepen het, die bestemming wat jy getoets het, die rigting wat op nul gebly het, en die SPI wat jy gelees het. Daardie sin skei 'n assosiasie wat niemand gebruik het van 'n afgeleë toepassing wat die verkeer ontvang en geweier het. Draai die verandering terug wanneer dit nie die tellers beweeg het nie, en hou die rekord; die volgende persoon begin waar jy opgehou het. Niks in die tonnel moes herbou word vir enigiets hiervan nie, en dit is die punt daarvan om passing te toets voordat jy aan die konfigurasie raak.