اكتشاف النظير الميت في IKEv2 لا يختبر تطبيقك

فحص الحيوية في IKEv2 يطرح سؤالاً واحداً: هل لا يزال النظير الآخر يستجيب على علاقة التحكم المحمية. وهو لا يقيس ما إذا كان تطبيق داخلي سليماً، ولا ما إذا كان هناك مسار خلف البوابة، ولا ما إذا كان التصفح يبدو سريعاً. قد ينجح الفحص بينما يفشل كل شيء مفيد خلف النفق.

اقرأ نوعي الأدلة بشكل منفصل قبل تغيير أي مؤقت.

ما الذي يطلبه فحص الحيوية فعلاً

يُرسل تبادل الحيوية داخل اقتران أمان IKE القائم وينتظر رداً خلال نافذة محددة. النجاح يعني أن تنفيذ IKE لدى النظير لا يزال موجوداً ولا يزال مستعداً للتحدث. وهو لا يقول شيئاً عن اقترانات الأمان الفرعية التي تحمل الحركة، ولا عن التوجيه خارج البوابة، ولا عن الخدمة التي فتحت النفق من أجلها. تلك ثلاثة أسئلة منفصلة بثلاثة أنماط فشل منفصلة.

هذا التمييز يحدد أين تنظر عندما تصمت الجلسة. نظير يواصل الاستجابة بينما مسار البيانات معطّل يشير إلى السياسة أو التوجيه أو خدمة في المصب. نظير يتوقف عن الاستجابة يشير إلى قابلية الوصول أو إلى حالة الطرف البعيد نفسه.

اقرأ اقترانات الأمان قبل المتصفح

تُعرض حالة التحكم وحالة البيانات بشكل منفصل بمجرد سؤال الخدمة الخفية، وتخبرك العدادات بما إذا كان قد جرى أي محاولة أصلاً. اقتران فرعي لم يُثبّت قط لا يشبه إطلاقاً اقتراناً ثُبّت ثم توقف عن تمرير الحزم، مع أن كليهما ينتج الشكوى نفسها من المستخدم.

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

دوّن أسماء الحالات حرفياً في التذكرة، مع العدادات في لحظة الشكوى. وصف مثل النفق معطّل يخفي أي الاقترانين انتهى، وتلك عادةً الحقيقة الوحيدة الجديرة بالاحتفاظ.

فشل المسار يبدو تماماً كنظير ميت

قد تستجيب البوابة لتبادلات التحكم بينما خادم خاص غير متصل، أو مسار معاد توجيهه مفقود، أو تحليل الأسماء الداخلي يفشل تماماً. من جهة العميل، يظهر كل ذلك كجلسة قائمة ووجهة غير قائمة. افحص مسار العودة بعناية مثل مسار الذهاب، لأن التوجيه غير المتماثل في الطرف البعيد ينتج صمتاً في اتجاه واحد فقط.

اختبر التطبيق المقصود مباشرة واذكر العنوان الذي حاوله، بدلاً من اختبار ما إذا كان النفق قائماً. بينغ إلى البوابة يثبت أن البوابة تستجيب؛ ولم يثبت قط أن التطبيق استجاب. سجّل العنوان الدقيق الذي حاوله التطبيق. تلك السلسلة تضيّق البحث لاحقاً، وهي الحقيقة الوحيدة التي تغفلها التذكرة عادةً.

أبقِ المؤقتات خارج التشخيص

تقصير فترة الاكتشاف ليس تغييراً في الأداء ولا يضيف سعة. في ظل فقدان الحزم يغيّر مدى سرعة التعرف على العطل، ما قد يجعل العلامة تبدو مختلفة دون أن يحسّن شيئاً. سجّل الوقت الحقيقي للعطل أولاً، ثم قرّر ما إذا كان التفاوت خاطئاً بالنسبة للوصلة التي لديك فعلاً.

تحديثات تعيين NAT تنتمي إلى الفئة نفسها. فهي تبقي المسار المترجم صالحاً، وليست دليلاً على أن التطبيق البعيد يعمل.

سياسة استعادة كاملة تقول ما ينبغي أن يفعله العميل عندما يُعلَن أن النظير ميت: إعادة التشغيل، أو الإغلاق، أو الانتظار، وما يجوز للحركة الأخرى فعله أثناء ذلك. بدون ذلك، يُعاد تشخيص الحادث نفسه من الصفر كل ربع سنة.