DPD উত্তর প্রমাণ করে IKE পিয়ার জীবিত, আপনার ডেটা প্রবাহিত হচ্ছে তা নয়
লাইভনেস উত্তর, একটি প্যাডিং বিজ্ঞপ্তি এবং সংকুচিত সিলেক্টর তিনটি আলাদা বিষয় বর্ণনা করে। একটি স্থবিরতাকে দোষ দেওয়ার আগে সেগুলো আলাদাভাবে পড়ুন।
IPsec লগ লাইভনেস উত্তর দেখাতে পারে, অথচ তাদের সামনের অ্যাপ্লিকেশনটি স্থবির হয়ে আছে, এবং দুটি তথ্যই একসঙ্গে সত্য হতে পারে। একটি DPD উত্তর নিশ্চিত করে যে পিয়ারের IKE প্রক্রিয়াকরণ ওই মুহূর্তে উত্তর দিয়েছে; চাইল্ড SA আপনার প্রয়োজনীয় প্যাকেট বহন করছে কি না সে সম্পর্কে এটি কিছুই বলে না। কোনো বিভ্রাটের কাছাকাছি প্রতিটি সতর্কতাকে তার কারণ হিসেবে গণ্য করাই হলো সিলেক্টর সমস্যাকে প্রোটোকল বাগ হিসেবে নির্ণয় করার পদ্ধতি। তিনটি পর্যবেক্ষণ সবচেয়ে বেশি গুলিয়ে ফেলা হয়, আর তারা তিনটি ভিন্ন প্রশ্নের উত্তর দেয়। টাইমস্ট্যাম্প অনুযায়ী পড়ার আগে তাদের সম্পর্ক ও উদ্দেশ্য অনুযায়ী পড়ুন।
প্রতিটি পর্যবেক্ষণ কী প্রমাণ করে
সারণিটি প্রতিটি পর্যবেক্ষণ কী প্রতিষ্ঠা করে এবং তা কেবল কীসের সঙ্গে থাকে, তা আলাদা করে।
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
তিনটির কোনোটিই নিজে থেকে ত্রুটি নয়। প্রত্যেকটি কেবল আপনি যে প্রবাহটি ডিবাগ করছেন তার পাশে তাৎপর্যপূর্ণ হয়, আর যে সারি নির্দিষ্ট প্রবাহের সঙ্গে যুক্ত করা যায় না তা প্রমাণ নয়, প্রসঙ্গ।
লাইভনেস ডেটার স্বাস্থ্য নয়
DPD একটি INFORMATIONAL বিনিময় হিসেবে চলে — IKE ডিমনগুলোর মধ্যে কন্ট্রোল-প্লেন কথোপকথন। একটি উত্তর প্রমাণ করে পিয়ারের IKE প্রক্রিয়া পৌঁছানোযোগ্য এবং উত্তর দিতে ইচ্ছুক, আর একটি টাইমআউট প্রমাণ করে তা নয়। কোনোটিই চাইল্ড SA, সিলেক্টর, ফরওয়ার্ডিং পথ বা অ্যাপ্লিকেশনের উত্তর পরীক্ষা করে না, তাই স্থবির ট্রান্সফারের পাশে সুস্থ DPD একটি সুসংগত চিত্র, পরস্পরবিরোধী নয়।
তাই লগের শুরুতে যতই আশ্বস্তকর দেখাক, লাইভনেস লাইনগুলো ডেটা-প্লেন টিকিটের সবচেয়ে কম উপযোগী অংশ।
প্যাডিং বিজ্ঞপ্তি প্যাডিং সম্পর্কে একটি বিবৃতি
TFC প্যাডিং এই লগগুলোর সবচেয়ে বেশি ভুলভাবে পড়া লাইন। এটি বলে যে ওই চাইল্ড SA-এর জন্য ট্রাফিক-ফ্লো-গোপনীয়তা প্যাডিং গ্রহণ করা হবে না, যা ESP সুরক্ষার প্রত্যাখ্যান নয় বরং একটি ঐচ্ছিক প্যাডিং বৈশিষ্ট্য সম্পর্কে বিবৃতি। কোনো ব্যর্থতার কাছে এটি পাওয়া সাধারণত বাক্যবাহুল্যের কাকতালীয়, আর প্যাডিং চালু বা বন্ধ করলে সিলেক্টর কভারেজে কিছুই বদলায় না।
IKEv2 স্পেসিফিকেশন বিজ্ঞপ্তি এবং সিলেক্টর নেগোশিয়েশন উভয়ই সংজ্ঞায়িত করে, এবং কোনো বাস্তবায়নের সতর্কতা লেবেল কোনোটিতেই প্রোটোকলের অর্থের বিকল্প নয়।
সংকোচন অধিক নীরব এবং সম্ভবত বেশি গুরুত্বপূর্ণ
একটি রেসপন্ডার প্রস্তাবিত সিলেক্টরগুলোর একটি উপসেট গ্রহণ করতে পারে, এবং গৃহীত সেটটি কয়েকটি এন্ট্রি জুড়ে মুদ্রিত হতে পারে — একটি পোর্ট-যোগ্য এবং অন্যটি সব পোর্ট কভার করে। কেবল প্রথম পোর্ট-যোগ্য লাইন পড়লে যা গৃহীত হয়েছে তা কম দেখা হয়; কেবল বিস্তৃত লাইন পড়লে তা বেশি দেখা হয়। মুদ্রিত প্রস্তাবটি ইনস্টল করা পলিসির সঙ্গে তুলনা করুন, কারণ প্রস্তাব হলো পিয়ারগুলো যা বলেছে আর পলিসি হলো কার্নেল যা মিলাবে। যখন তারা ভিন্ন হয়, টানেল থাকে কিন্তু ট্রাফিক থাকে না — এটাই চিরাচরিত বিরতিহীন অভিযোগ। পিয়ার তুলনা করার সময় স্থানীয় ও দূরবর্তী দৃষ্টিভঙ্গি উল্টে নিন, কারণ প্রতিটি পক্ষের স্থানীয় হলো অন্যপক্ষের দূরবর্তী।
পোর্ট সীমাবদ্ধতাসহ হোস্ট-নির্দিষ্ট এন্ট্রি দুবার পড়ার যোগ্য, কারণ এরাই ICMP বা দ্বিতীয় পোর্ট বাদ দেয় অথচ গেটওয়েতে ping কাজ করতে থাকে।
ব্যর্থ প্রবাহের জন্য একটি রেকর্ড তৈরি করুন
সুরক্ষা সিদ্ধান্তে যেভাবে দেখা যায় সেভাবে উৎস, গন্তব্য, ঠিকানা পরিবার, প্রোটোকল ও পোর্ট রেকর্ড করুন, যেকোনো ইচ্ছাকৃত অনুবাদসহ। এগুলোই সেই মান যা সিলেক্টরের সঙ্গে মিলতে হবে, এবং এগুলোই সেই মান যা টিকিট তৃতীয় জোড়া হাতে পৌঁছালে মানুষ স্মৃতি থেকে আবার টাইপ করে।
তারপর চাইল্ড SA এবং তার দিকনির্দেশক কাউন্টার শনাক্ত করুন: swanctl --list-sas একটি strongSwan হোস্টে অ্যাসোসিয়েশনের সারসংক্ষেপ দেয়, আর ip -s xfrm state কাউন্টার দেয়। সিস্টেম অলস থাকার সময় নয়, বরং একটি নতুন অনুমোদিত অনুরোধের পরে সেগুলো পড়ুন। বহির্গামী ট্রাফিকে কোনো বৃদ্ধি না থাকলে তা সিলেকশন বা স্থানীয় পথের দিকে ইঙ্গিত করে; সংশ্লিষ্ট অন্তর্গামী ছাড়া বহির্গামী পিয়ার, তার ফরওয়ার্ডিং বা তার উত্তরগুলোর দিকে ইঙ্গিত করে।
সম্পূর্ণ হওয়া অ্যাপ্লিকেশন বিনিময় যেকোনো কাউন্টারের চেয়ে বেশি গুরুত্বপূর্ণ, তাই পরীক্ষা টানেল নির্দেশকে নয়, অ্যাপ্লিকেশনে শেষ হওয়া উচিত।
এর পরে সংশোধন বেছে নিন
সেই রেকর্ড থাকার পরেই বেছে নেওয়ার মতো সংশোধন থাকে: গৃহীত সিলেক্টর, রুট, ফিল্টারিং, পিয়ার বাস্তবায়ন, অথবা এখন আপনি যে সীমা প্রদর্শন করেছেন। পিয়ার রিসেট করা একসঙ্গে কয়েকটি অবস্থা বদলায় এবং প্রায়ই কোনটি ভুল ছিল তা না বুঝিয়েই ট্রাফিক ফিরিয়ে দেয়, তাই বিভ্রাট ফিরে আসে। কার্নেল স্টেট ডাম্প টিকিটের বাইরে রাখুন, কারণ সেগুলোতে চাবি থাকতে পারে আর সংক্ষিপ্ত সারাংশ সাহায্য করতে চাওয়া যে কারও জন্য যথেষ্ট।
যখন রেকর্ড আপনার প্রথম তত্ত্বের সঙ্গে বিরোধ করে, রেকর্ডকেই বিশ্বাস করুন এবং তত্ত্বটি নতুন করে লিখুন; এই অভ্যাস এখানে আলোচিত যেকোনো একক লগ লাইনের চেয়ে বেশি মূল্যবান।