IKEv2 fraqmentasiyası ilə sertifikat zənciri problemini ayırd etmək

Tunel ofis şəbəkəsində işləyirdi və evdə dayanır, jurnal isə hər hansı başqa şey olmadan əvvəl ilk mübadilənin tamamlandığını göstərir. Bu nümunə kimlik məlumatlarına deyil, autentifikasiya mübadiləsinə işarə edir: sertifikat zənciri həmin mesajı əvvəlkindən qat-qat böyük edir və böyük dataqramları sevməyən yol onu sakitcə atır. İki fərqli fraqmentasiya mexanizmi işə düşür və hansına baxdığınızı bilmək düzəlişi müəyyən edir.

İki fraqmentasiya mexanizmi, bir simptom

IKEv2-nin RFC 7383-də təyin olunan öz fraqmentasiya genişlənməsi var və qorunan IKE mesajlarını daha kiçik IKE mesajlarına bölür. Tərəflər bu imkan üzərində razılaşır və mesaj IP qatı ilə deyil, IKE tətbiqi ilə yenidən yığılır.

Adi IP fraqmentasiyası fərqli uğursuzluq rejimi olan başqa mexanizmdir. Tərəflər arasındakı marşrutlaşdırıcı böyük dataqramı fraqmentlər və ya onu atıb göndərənə heç vaxt çatmayan ICMP mesajı qaytarır. Bəzi şəbəkələr fraqmentləri sakitcə silir, bəzi ara qurğular birinci fraqmenti emal edir, qalanlarını yox. Tətbiqin baxışından hər üç hal eyni görünür.

NAT keçidi üçüncü dəyişəni əlavə edir, çünki ESP onda UDP içərisinə bükülür və xarici paket böyüyərək 4500 portunda adi UDP trafiki kimi görünür. UDP-ni yaxşı keçirən yol hələ də artıq sığmayan dataqramda uğursuz ola bilər.

Uğursuz olan mübadiləni oxuyun

Xətanı deyil, keçidi axtarın. İlk mübadilənin göndərildiyini və cavablandığını, sonra heç nə olmadığını göstərən jurnal sizə növbəti mesajın heç vaxt tamamlanmadığını deyir. Jurnal səviyyəsini müvəqqəti artırın və hər iki tərəfdə bildirilən ölçüləri müqayisə edin.

Müəyyən etmək istədiyiniz cavab verənin sorğunu ümumiyyətlə görüb-görmədiyidir. Təşəbbüs edən nəsə göndəribsə və cavab verəndə bunun heç bir qeydi yoxdursa, problem çatdırılmadadır. Cavab verən sorğunu təhlil edib rədd edibsə, problem sertifikatın özündədir və fraqmentasiya diqqəti yayındırır. Bu fərq bir səhifə timeout mesajından daha dəyərlidir.

Sertifikatı deyil, yolu dəyişin

Eyni müştərini, eyni sertifikatı və eyni konfiqurasiyanı başqa şəbəkədən sınayın. Mobil hotspot adətən ən ucuz ikinci yoldur və ofis bağlantısından həqiqətən fərqlənir, sadəcə nominal olaraq deyil.

Əl sıxışması ikinci yolda tamamlanırsa, sertifikat zənciri qaydasındadır və dəyişən birinci yoldur. Hər ikisində eyni şəkildə uğursuz olursa, şəbəkələri sınamağı dayandırın və mesajların özünə baxın. Bu tək müqayisə mümkün izahların təxminən yarısını aradan qaldırır.

Nəyisə redaktə etməzdən əvvəl mübadiləni ölçün

Zəncirin ölçüsünü və yolun ölçüsünü əldə edin. Hər iki rəqəm əl sıxışmasının nə göndərə biləcəyini məhdudlaşdırır və hər ikisini ölçmək ucuzdur:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

İlk ikisi sertifikatların sayını və faylın ölçüsünü verir ki, bu da autentifikasiya mesajının nə qədər böyük olacağına dair ağlabatan göstəricidir. Ping yoxlaması o ölçüdə dataqramın yoldan keçib-keçmədiyini bildirir, interfeys sayğacları isə fraqmentlərin sizin tərəfinizdə atılıb-atılmadığını göstərir. Windows-da ekvivalent yoxlama do-not-fragment bayrağı və açıq yük ölçüsü ilə ping-dir.

Yoxlamanı uğur qazanana qədər aşağı doğru təkrarlayın. Keçən ən böyük ölçü həmin yol üçün işçi büdcədir və hər hansı dərc edilmiş standart dəyərdən daha faydalıdır.

Həqiqətən pozulmuş qatı düzəldin

Yol böyük dataqramları atırsa, hər iki tərəfdə IKE fraqmentasiyasını aktivləşdirin və genişlənmənin yalnız təklif olunmadığını, razılaşdırıldığını təsdiqləyin. Yol fraqmentlərlə IP səviyyəsində pis davranırsa, düzəliş oraya və ya xarici interfeysin MTU-suna aiddir, sertifikat anbarına yox.

Zəncir lazımsız dərəcədə uzundursa, onu tərəfin həqiqətən ehtiyac duyduğu aralıq sertifikatlara qədər kəsin. Müştərinin artıq etibar etdiyi kökü silmək ağlabatan təmizlikdir; aralıq sertifikatı silmək deyil və mesajı kiçiltmək üçün yoxlamanı söndürmək çatdırılma problemini təhlükəsizlik problemi ilə dəyişir.

Hansı mexanizmi dəyişdiyinizi və əl sıxışmasının sonra necə göründüyünü yazın. Növbəti hal adətən eyni simptomla başqa şəbəkədə olur və qeyd iki saatı on dəqiqəyə çevirən şeydir.