Як адрозніць фрагментацыю IKEv2 ад праблемы ланцужка сертыфікатаў

Тунэль працаваў у офіснай сетцы і спыняецца дома, а журнал паказвае, што першы абмен завяршыўся да таго, як адбылося што-небудзь яшчэ. Гэтая карціна ўказвае на абмен аўтэнтыфікацыі, а не на ўліковыя даныя: ланцужок сертыфікатаў робіць гэтае паведамленне значна большым за папярэдняе, і шлях, які не любіць вялікія датаграмы, ціха іх скідвае. Задзейнічаны два розныя механізмы фрагментацыі, і разуменне таго, на які вы глядзіце, вызначае рашэнне.

Два механізмы фрагментацыі, адзін сімптом

У IKEv2 ёсць уласнае пашырэнне фрагментацыі, вызначанае ў RFC 7383, якое дзеліць абароненыя паведамленні IKE на драбнейшыя паведамленні IKE. Бакі дамаўляюцца пра гэтую магчымасць, а паведамленне збіраецца рэалізацыяй IKE, а не IP-узроўнем.

Звычайная фрагментацыя IP — гэта іншы механізм з іншым рэжымам адмовы. Маршрутызатар паміж бакамі фрагментуе вялікую датаграму або скідвае яе і вяртае паведамленне ICMP, якое можа ніколі не дайсці да адпраўніка. Некаторыя сеткі ціха адкідаюць фрагменты, а некаторыя прамежкавыя прылады апрацоўваюць першы фрагмент, але не астатнія. З пункту гледжання праграмы ўсе тры выпадкі выглядаюць аднолькава.

Трансляцыя NAT дадае трэцюю зменную, бо ESP тады абарочваецца ў UDP, і вонкавы пакет павялічваецца, выглядаючы як звычайны трафік UDP на порце 4500. Шлях, які добра прапускае UDP, усё яшчэ можа збавіць на датаграме, якая больш не змяшчаецца.

Чытайце абмен, які праваліўся

Шукайце пераход, а не памылку. Журнал, які паказвае, што пачатковы абмен адпраўлены і атрымаў адказ, пасля чаго нічога, кажа вам, што наступнае паведамленне так і не завяршылася. Часова падвысьце ўзровень журнала і параўнайце паведамленыя памеры на абодвух баках.

Што вы хочаце ўстанавіць — ці бачыў адказвальны бок запыт наогул. Калі ініцыятар нешта адправіў, а ў адказвальнага боку няма запісу пра гэта, праблема ў дастаўцы. Калі адказвальны бок разгледзеў запыт і адхіліў яго, праблема ў самім сертыфікаце, і фрагментацыя адцягвае ўвагу. Гэтае адрозненне вартае большага, чым старонка паведамленняў пра тайм-аўт.

Змяніце шлях, а не сертыфікат

Праверце таго ж кліента, той жа сертыфікат і тую ж канфігурацыю з іншай сеткі. Мабільная кропка доступу звычайна самая танная другая сцяжына, і яна сапраўды іншая за офіснае злучэнне, а не намінальна іншая.

Калі рукапаціск завершыцца на другім шляху, ланцужок сертыфікатаў у парадку, і зменная — першы шлях. Калі ён збавіць аднолькава на абодвух, спыніце правяраць сеткі і паглядзіце на самі паведамленні. Гэтае адзінае параўнанне прыбірае каля паловы магчымых тлумачэнняў.

Вымерайце абмен, перш чым нешта змяняць

Атрымайце памер ланцужка і памер шляху. Абодва лікі абмяжоўваюць тое, што можа адправіць рукапаціск, і абодва танна вымераць:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

Першыя два даюць колькасць сертыфікатаў і памер файла, што з'яўляецца разумным паказчыкам таго, наколькі вялікім будзе паведамленне аўтэнтыфікацыі. Праверка ping паведамляе, ці выжывае датаграма такога памеру на шляху, а лічыльнікі інтэрфейса паказваюць, ці былі фрагменты скідзены на вашым баку. У Windows эквівалентная праверка — гэта ping са сцягам do-not-fragment і яўным памерам карыснай нагрузкі.

Паўтарайце праверку ўніз, пакуль яна не ўдасца. Самы вялікі памер, які праходзіць, — гэта працоўны бюджэт для гэтага шляху, і ён карыснейшы за любое апублікаванае значэнне па змаўчанні.

Выпраўце той узровень, які сапраўды зламаны

Калі шлях скідвае вялікія датаграмы, уключыце фрагментацыю IKE на абодвух баках і пацвердзіце, што пашырэнне было ўзгоднена, а не проста прапанавана. Калі шлях дрэнна апрацоўвае фрагменты на ўзроўні IP, выпраўленне належыць туды або ў MTU вонкавага інтэрфейса, а не ў сховішча сертыфікатаў.

Калі ланцужок непатрэбна доўгі, скараціце яго да прамежкавых сертыфікатаў, якія бакі сапраўды патрэбныя. Выдаленне кораня, якому кліент ужо давярае, — разумная гаспадарка; выдаленне прамежкавага — не, а адключэнне праверкі, каб паменшыць паведамленне, мяняе праблему дастаўкі на праблему бяспекі.

Запішыце, які механізм вы змянілі і як выглядаў рукапаціск пасля гэтага. Наступны выпадак звычайна ў іншай сетцы з тым жа сімптомам, і менавіта нататка ператварае дзве гадзіны ў дзесяць хвілін.