ردود DPD تثبت أن نظير IKE حي، لا أن بياناتك تتدفق
ردود الحياة وإشعار الحشو والمحدِّدات المضيّقة تصف ثلاثة أشياء مختلفة. اقرأها منفصلة قبل أن تلوم أحدها على توقف.
قد تُظهر سجلات IPsec ردود حياة بينما يتوقف التطبيق الذي أمامها، ويمكن أن تكون الحقيقتان صحيحتين في الوقت نفسه. استجابة DPD تثبت أن معالجة IKE لدى النظير أجابت في تلك اللحظة؛ وهي لا تقول شيئًا عمّا إذا كان SA الفرعي يحمل الحزمة التي تهمك. إن التعامل مع كل تحذير قرب انقطاع على أنه سببه هو الطريقة التي يُشخَّص بها مشكل المحدِّدات على أنه خطأ بروتوكول. هناك ثلاث ملاحظات تختلط أكثر من غيرها، وهي تجيب عن ثلاثة أسئلة مختلفة. اقرأها بحسب الارتباط والغرض قبل أن تقرأها بحسب الطابع الزمني.
ما تثبته كل ملاحظة
يفصل الجدول ما تثبته كل ملاحظة عمّا يصاحبها فحسب.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
لا شيء من الثلاثة خطأ بحد ذاته. يصبح كل منها مثيرًا للاهتمام فقط بجوار التدفق الذي تنقّحه، والصف الذي لا يمكن ربطه بتدفق محدد هو سياق لا دليل.
الحياة ليست صحة البيانات
يعمل DPD كتبادل INFORMATIONAL، أي محادثة مستوى تحكم بين خدمات IKE. الرد يثبت أن عملية IKE لدى النظير قابلة للوصول ومستعدة للإجابة، والمهلة تثبت أنها ليست كذلك. لا يختبر أي من النتيجتين SA الفرعي ولا المحدِّدات ولا مسار التمرير ولا رد التطبيق، لذا فإن DPD السليم إلى جانب نقل متوقف صورة متسقة لا تناقض.
ولهذا فإن أسطر الحياة هي أقل جزء مفيد في تذكرة مستوى البيانات، مهما بدت مطمئنة في أعلى السجل.
إشعار الحشو تصريح عن الحشو
حشو TFC هو أكثر سطر يُبالغ في قراءته في هذه السجلات. إنه يقول إن حشو سرية تدفق المرور لن يُقبل لذلك SA الفرعي، وهو تصريح عن ميزة حشو اختيارية لا رفض لحماية ESP. والعثور عليه قرب عطل هو عادة مصادفة من كثرة التفاصيل، وتشغيل الحشو أو إيقافه لا يغيّر شيئًا في تغطية المحدِّدات.
تحدد مواصفة IKEv2 كلاً من الإشعار وتفاوض المحدِّدات، ولا تحل تسمية التحذير في أي تطبيق محل المعنى البروتوكولي في أي من الحالتين.
التضييق أهدأ وأرجح أن يهم
قد يقبل المستجيب مجموعة فرعية من المحدِّدات المعروضة، ويمكن طباعة المجموعة المقبولة عبر عدة مدخلات، أحدها مؤهل بمنفذ وآخر يغطي كل المنافذ. قراءة أول سطر مؤهل بالمنفذ فقط تقلل مما قُبل؛ وقراءة السطر العريض فقط تبالغ فيه. قارن العرض المطبوع بالسياسة المثبتة، لأن العرض هو ما قاله النظيران والسياسة هي ما ستطابقه النواة. وعندما يختلفان، يوجد النفق ولا يوجد المرور، وهذه هي الشكوى المتقطعة الكلاسيكية. اقلب منظور المحلي والبعيد عند مقارنة النظيرين، لأن محلي كل جانب هو بعيد الآخر.
المدخلات الخاصة بالمضيف مع تقييد منفذ تستحق القراءة مرتين، لأنها هي التي تستبعد ICMP أو منفذًا ثانيًا مع إبقاء بينغ إلى البوابة يعمل.
أنشئ سجلًا واحدًا للتدفق الفاشل
سجّل المصدر والوجهة وعائلة العنوان والبروتوكول والمنفذ كما تُرى عند قرار الحماية، بما في ذلك أي ترجمة متعمدة. هذه هي القيم التي يجب أن تطابق محددًا، وهي أيضًا القيم التي يعيد الناس كتابتها من الذاكرة عندما تصل التذكرة إلى زوج ثالث من الأيدي.
ثم حدد SA الفرعي وعدّاداته الاتجاهية: swanctl --list-sas يعطي ملخص الارتباط على مضيف strongSwan، وip -s xfrm state يعطي العدّادات. اقرأهما بعد طلب مسموح جديد لا بينما النظام خامل. عدم زيادة الصادر يشير إلى الاختيار أو المسار المحلي؛ والصادر دون وارد مقابل يشير إلى النظير أو تمريره أو ردوده.
تبادل تطبيق مكتمل يتفوق على أي من العدّادين، ولهذا يجب أن ينتهي الاختبار عند التطبيق لا عند مؤشر النفق.
اختر التصحيح بعد ذلك
فقط بعد وجود ذلك السجل يصبح هناك تصحيح للاختيار: محددات مقبولة، أو مسار، أو تصفية، أو تنفيذ النظير، أو حد أثبتّه الآن. إعادة ضبط النظير تغيّر عدة حالات دفعة واحدة وغالبًا تعيد المرور دون تفسير أيها كان خاطئًا، فيعود الانقطاع. أبقِ تفريغات حالة النواة خارج التذاكر أيضًا، لأنها قد تحتوي مفاتيح والملخص الضيق يكفي لأي شخص يحتاج إلى المساعدة.
عندما يناقض السجل نظريتك الأولى، ثق بالسجل وأعد كتابة النظرية؛ تلك العادة أثمن من أي سطر سجل واحد نوقش هنا.