DPD cavabları IKE həmyaşıdının canlı olduğunu sübut edir, məlumatlarınızın axdığını yox
Canlılıq cavabları, doldurma bildirişi və daraldılmış seçicilər üç fərqli şeyi təsvir edir. Bir dayanmanı günahlandırmazdan əvvəl onları ayrı-ayrı oxuyun.
IPsec jurnalları qabaqlarındakı tətbiq dayandığı halda canlılıq cavabları göstərə bilər və hər iki fakt eyni vaxtda doğru ola bilər. DPD cavabı həmyaşıdın IKE emalının o anda cavab verdiyini təsbit edir; uşaq SA-nın sizin üçün vacib paketi daşıyıb-daşımadığı barədə isə heç nə demir. Kəsinti yaxınlığındakı hər xəbərdarlığı onun səbəbi kimi qəbul etmək, seçici probleminin protokol xətası kimi diaqnoz qoyulmasına gətirib çıxarır. Ən çox qarışdırılan üç müşahidə var və onlar üç fərqli suala cavab verir. Onları zaman damğasına görə deyil, əlaqə və məqsədə görə oxuyun.
Hər müşahidə nəyi sübut edir
Cədvəl hər müşahidənin nəyi təsbit etdiyini sadəcə nəyi müşayiət etdiyindən ayırır.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Üçündən heç biri təkbaşına xəta deyil. Hər biri yalnız ayırd etdiyiniz axının yanında maraqlı olur və konkret axına bağlana bilməyən sətir sübut deyil, kontekstdir.
Canlılıq məlumat sağlamlığı deyil
DPD INFORMATIONAL mübadiləsi kimi işləyir — IKE demonları arasında idarəetmə müstəvisi söhbəti. Cavab həmyaşıdın IKE prosesinin əlçatan olduğunu və cavab verməyə hazır olduğunu sübut edir, timeout isə bunun belə olmadığını sübut edir. Nəticələrin heç biri uşaq SA-nı, seçiciləri, yönləndirmə yolunu və ya tətbiqin cavabını yoxlamır, buna görə dayanmış ötürmə ilə yanaşı sağlam DPD ziddiyyət deyil, tutarlı mənzərədir.
Buna görə canlılıq sətirləri məlumat müstəvisi bileti üçün ən az faydalı hissədir, jurnalın yuxarısında nə qədər arxayınlaşdırıcı görünsələr də.
Doldurma bildirişi doldurma haqqında bəyanatdır
TFC doldurması bu jurnallarda ən çox həddindən artıq oxunan sətirdir. O, trafik axını məxfiliyi doldurmasının həmin uşaq SA üçün qəbul edilməyəcəyini bildirir ki, bu da ESP qorunmasının rədd edilməsi deyil, opsional doldurma funksiyası haqqında bəyanatdır. Onu nasazlığın yaxınlığında tapmaq adətən söz çoxluğunun təsadüfüdür və doldurmanı açıb-söndürmək seçici əhatəsinə heç nə dəyişmir.
Həm bildirişi, həm də seçici danışıqlarını müəyyən edən IKEv2 spesifikasiyası göstərir ki, implementasiyanın xəbərdarlıq etiketi heç bir halda protokol mənasını əvəz etmir.
Daralma daha səssizdir və daha çox əhəmiyyət kəsb edir
Cavab verən tərəf təklif olunan seçicilərin alt çoxluğunu qəbul edə bilər və qəbul edilmiş çoxluq bir neçə giriş üzrə çap oluna bilər: biri portla keyfiyyətlənmiş, digəri bütün portları əhatə edir. Yalnız ilk portla keyfiyyətlənmiş sətri oxumaq qəbul ediləni azaldır; yalnız geniş sətri oxumaq isə onu şişirdir. Çap olunmuş təklifi quraşdırılmış siyasətlə müqayisə edin, çünki təklif həmyaşıdların dediyi, siyasət isə nüvənin uyğunlaşdıracağı şeydir. Onlar ziddiyyət təşkil etdikdə tunel mövcuddur, trafik isə yoxdur — bu, klassik fasiləli şikayətdir. Həmyaşıdları müqayisə edərkən yerli və uzaq perspektivini dəyişdirin, çünki hər tərəfin yerli olanı digərinin uzaqıdır.
Port məhdudiyyəti olan hosta xas girişləri iki dəfə oxumağa dəyər, çünki məhz onlar ICMP-ni və ya ikinci portu istisna edir, gateway-ə ping isə işləməyə davam edir.
Uğursuz axın üçün bir qeyd yaradın
Mənbəni, təyinatı, ünvan ailəsini, protokolu və portu qoruma qərarında göründüyü kimi qeyd edin, o cümlədən hər hansı qəsdən edilən tərcüməni. Bunlar seçiciyə uyğun gəlməli olan dəyərlərdir və həm də bilet üçüncü əllərə çatanda insanların yaddaşdan yenidən yazdığı dəyərlərdir.
Sonra uşaq SA-nı və istiqamət üzrə sayğaclarını müəyyən edin: swanctl --list-sas strongSwan hostunda assosiasiya xülasəsini verir, ip -s xfrm state isə sayğacları verir. Onları sistem boş dayandığı vaxt deyil, təzə icazəli sorğudan sonra oxuyun. Gedən trafikdə artım olmaması seçimə və ya yerli yola işarə edir; uyğun gələn gələn trafik olmadan gedən trafik həmyaşıda, onun yönləndirməsinə və ya cavablarına işarə edir.
Tamamlanmış tətbiq mübadiləsi hər iki sayğacdan üstündür, buna görə test tunel göstəricisində deyil, tətbiqdə bitməlidir.
Düzəlişi sonra seçin
Yalnız o qeyd mövcud olduqdan sonra seçiləcək düzəliş var: qəbul edilmiş seçicilər, marşrut, filtrləmə, həmyaşıdın implementasiyası və ya indi nümayiş etdirdiyiniz sərhəd. Həmyaşıdı sıfırlamaq bir neçə vəziyyəti eyni vaxtda dəyişir və çox vaxt hansının səhv olduğunu izah etmədən trafiki bərpa edir, buna görə kəsinti qayıdır. Nüvə vəziyyəti dump-larını da biletlərdən kənarda saxlayın, çünki onlarda açarlar ola bilər və dar xülasə kömək etmək istəyən hər kəs üçün kifayətdir.
Qeyd ilk nəzəriyyənizə ziddirsə, qeydə inanın və nəzəriyyəni yenidən yazın; bu vərdiş burada müzakirə olunan hər hansı tək jurnal sətrindən daha dəyərlidir.