IPsec uşaq SA aktivdir, lakin paket sayğacları sıfırda qalır

Tuneli qaldırdınız, açarın yenilənmə taymeri geri sayır və hər iki istiqamət hələ də sıfır paket göstərir. Bu iki rəqəm qarşı tərəfin tunelinizi rədd etdiyini demir: boş sayğaclı quraşdırılmış CHILD SA, hələ heç nəyin uyğun gəlmədiyi assosiasiyanın normal vəziyyətidir. İş onu sübut etməkdir ki, paket uyğun gəlməli idi, sonra isə seçicilərin təsvir etdiyi yoldan çıxdığı nöqtəni tapmaqdır. Bunu bir dəfə, ardıcıllıqla edin və sorğunu icraatlar arasında eyni saxlayın.

Sıfır sayğac əslində nəyi sübut edir

CHILD SA seçici cütü və həmin aralıqlara düşən trafiki şifrələyən açarlar və SPI-dir. Onu quraşdırmaq yalnız o deməkdir ki, hər iki tərəf bu aralıqlar və törəmə açarlar barədə razılaşıb; nüvə onu saatlarla saxlayar, bir paket belə gəlməz. Yəni sual heç vaxt tunelin mövcud olub-olmaması deyil, sınağınızın göndərdiyi hər hansı paketin iki tərəfin razılaşdırdığı aralıqlara düşüb-düşməməsidir. Heç biri düşmədisə, sayğaclar sıfırda qalır və assosiasiya ömrünün sonunda istifadəsiz bitir.

Bu fərq ilk nəyə baxdığınızı dəyişir. Rədd edilmiş təklif, autentifikasiya xətası və ya ölən IKE SA hamısı jurnalda və ya SA siyahısında görünür, səssiz sıfır kimi deyil. Təmiz razılaşan və sonra boş qalan tunel isə uyğunlaşdırma, marşrutlaşdırma və ya sınaq trafikinin mənbəyinə işarə edir.

Göndərməzdən əvvəl təsvir edə biləcəyiniz axın göndərin

Qorunan yarımşəbəkə daxilində hədəf seçin və ona yeni bağlantı açın; bir saat əvvəl yüklədiyiniz səhifə keşdən verilə bilər və keşlənmiş cavab tunelə heç vaxt toxunmur. Sonra sorğu hələ hipotetik ikən dörd dəyəri yazın: tətbiqin bağlayacağı mənbə ünvanı, hədəf, ünvan ailəsi və izlədiyiniz uşağın adı və ya seçici cütü. Bu qeyd düz sayğacı yoxlanıla bilən iddiaya çevirən şeydir.

Mənbə ünvanı insanların atladığı dəyərdir və sınağı ən çox pozan da elə odur. Simli ünvanı, Wi-Fi ünvanı və tunel ünvanı olan noutbuk marşrut axtarışından asılı olaraq onlardan hər hansı birini bağlaya bilər və yalnız biri razılaşdırılmış aralığın içində ola bilər. Mənbəni bərkitməyə imkan verən alətdən istifadə edin, məsələn ping -I 10.1.0.5 10.2.0.9 və ya curl --interface 10.1.0.5, ki, paket səssizcə başqa ünvan seçməsin. Bərkidilmiş icra sayğacları tərpədib bərkidilməmiş icra tərpətmirsə, IPsec problemi deyil, marşrut problemi tapmısınız.

Hansı rəqəmləri oxumalı və onlar harada yaşayır

Linux-da ip -s xfrm state hər assosiasiyanı bayt və paket cəmi yalnız həmin SA-ya aid olan lifetime current: sətri ilə çap edir, ardınca təkrar və xəta sayğacları üçün stats: sətri gəlir. strongSwan qarşı tərəfində swanctl --list-sas quraşdırılmış hər uşaq üçün bir in sətri və bir out sətri göstərir, hər biri bayt və paket sayı ilə bitir; köhnə stroke alətləri eyni cütü bytes_i və bytes_o adlandırır. İki istiqaməti ayrı oxuyun, çünki düz qalan istiqamət tapıntıdır. Onları toplamaq axtardığınız asimmetriyanı məhz gizlədir.

Hər iki görünüş assosiasiya üzrədir, ona görə açar yenilənməsi təzə SPI cütü quraşdırır və heç nə pozulmadan baza sıfıra qayıdır. Yenilənmə taymeri işə düşməzdən əvvəl izlədiyiniz SPI-ni qeyd edin, əks halda yeni SA-nı köhnə rəqəmlə müqayisə edəcəksiniz. Çıxan artarkən girən düz qalırsa, seçici uyğun gəlib və cavab heç vaxt qayıtmayıb, bu da araşdırmanı qarşı tərəfin yönləndirməsinə və öz siyasətinə keçirir. strongSwan-ın IKEv2 konfiqurasiya sənədləri uşaq SA həyat dövrünü və bu rəqəmlərin arxasındakı yenilənmə vaxtını əhatə edir.

Müşahidə nöqtəsi paketin mənbəyindən ayrı dəyişəndir. Apparat oflodu assosiasiyanın sayğaclarını artıra bilər, halbuki interfeysdə proqram tutması heç nə göstərmir, çünki oflodlanmış paketlər tutmanın oturduğu qarmağı keçir və girən tərəf də eyni cür ayrıla bilər. İkisi ziddiyyət təşkil edəndə sayğaclarla nəyinsə uyğun gəlib-gəlmədiyini, tutma ilə isə paketin necə göründüyünü cavablandırın.

Marşrut, seçicilər və paketin doğulduğu yer

Üç şeyi yan-yana müqayisə edin: nüvənin hədəfiniz üçün seçdiyi marşrutu, trafiki tunelə yönəldən siyasəti və uşağın razılaşdırdığı seçici cütünü. ip route get 10.2.0.9 from 10.1.0.5 nüvənin istifadə edəcəyi interfeysi və mənbəni adlandırır, bu da çox vaxt fərz etdiyiniz cüt deyil. ip xfrm policy yerli quraşdırılmış şablonları və seçiciləri göstərir, swanctl --list-sas isə qarşı tərəfin nəyə razılaşdığını göstərir. Paketi fiziki interfeysdən çıxaran axtarış siyasətə heç çatmır, ona görə sayğaclar tərpənə bilməz.

Uyğunsuzluqlar sayğacdan eyni görünən bir neçə formada gəlir. IPv4 seçicisindən kənarda IPv6 hədəfi, səhv yarımşəbəkədən mənbə ünvanı və uşaqdan dar siyasət hamısı eyni sıfırı verir. Ən dar səbəbi birinci düzəldin, çünki sadəcə rəqəmi dəyişmək üçün seçicini genişlətmək tunelin nəyi qoruduğunu dəyişir.

Sonra paketin mənbəyi gəlir, bu da şlüzün öz operatoru üçün qurduğu tələdir. Şlüzün özünün yaratdığı trafik çıxış siyasəti ilə uyğunlaşdırılır, müştəri üçün yönləndirdiyi paket isə yönləndirmə siyasəti ilə uyğunlaşdırılır, ona görə qutudan gələn ping heç bir müştərinin getmədiyi yolda uğur qazana bilər.

Bir geri qaytarıla bilən dəyişiklik və rəyi keçən hesabat

Tək bir elementi dəyişin, eyni sorğunu təkrarlayın və eyni sayğacları oxuyun. Bütün firewall qaydalarını təmizləmək və ya bütün seçiciləri birdən dəyişmək rəqəmi tərpədər və sizə səbəbi deyən sübutu məhv edər. İkinci icra hələ də sıfır göstərirsə, günortanı itirmək əvəzinə bir fərziyyəni istisna etmisiniz.

Tapıntını başqasının təkrar edə biləcəyi formada yazın: uşağın adı, qəbul edilmiş aralıqlar, bərkitdiyiniz mənbə, sınadığınız hədəf, sıfırda qalan istiqamət və oxuduğunuz SPI. Bu cümlə heç kimin istifadə etmədiyi assosiasiyanı trafiki alıb rədd edən uzaq tətbiqdən ayırır. Sayğacları tərpətmədikdə dəyişikliyi geri qaytarın və qeydi saxlayın; növbəti adam sizin dayandığınız yerdən başlayır. Bunların heç biri üçün tuneldə heç nəyi yenidən qurmaq lazım deyildi və konfiqurasiyaya toxunmazdan əvvəl uyğunlaşdırmanı yoxlamağın mənası da budur.