DPD odgovori dokazuju da je IKE peer živ, a ne da vaši podaci teku
Odgovori o živosti, obavještenje o popunjavanju i suženi selektori opisuju tri različite stvari. Čitajte ih odvojeno prije nego što jednu okrivite za zastoj.
IPsec logovi mogu prikazivati odgovore o živosti dok aplikacija ispred njih stoji, a obje činjenice mogu biti istovremeno tačne. DPD odgovor utvrđuje da je IKE obrada peera odgovorila u tom trenutku; on ne govori ništa o tome da li dijete SA nosi paket koji vas zanima. Tretirati svako upozorenje blizu prekida kao njegov uzrok jeste način na koji se problem selektora dijagnostikuje kao greška protokola. Tri zapažanja se najčešće miješaju i ona odgovaraju na tri različita pitanja. Čitajte ih po vezi i namjeni prije nego što ih čitate po vremenskoj oznaci.
Šta svako zapažanje dokazuje
Tabela razdvaja šta svako zapažanje utvrđuje od onoga što samo prati.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Nijedno od tri nije greška samo po sebi. Svako postaje zanimljivo tek pored toka koji otklanjate, a red koji se ne može vezati za konkretan tok je kontekst, a ne dokaz.
Živost nije zdravlje podataka
DPD radi kao INFORMATIONAL razmjena, razgovor kontrolne ravni između IKE demona. Odgovor dokazuje da je IKE proces peera dostupan i voljan da odgovori, a istek vremena dokazuje da nije. Nijedan rezultat ne provjerava dijete SA, selektore, put prosljeđivanja ili odgovor aplikacije, pa je zdrav DPD uz zaustavljen prijenos koherentna slika, a ne protivrječnost.
Zato su linije živosti najmanje koristan dio tiketa podatkovne ravni, koliko god umirujuće izgledale na vrhu loga.
Obavještenje o popunjavanju je izjava o popunjavanju
TFC popunjavanje je najviše prečitan red u ovim logovima. Ono kaže da popunjavanje radi povjerljivosti toka saobraćaja neće biti prihvaćeno za to dijete SA, što je izjava o opcionoj funkciji popunjavanja, a ne odbijanje ESP zaštite. Pronalaženje istog blizu kvara obično je slučajnost rječitosti, a uključivanje ili isključivanje popunjavanja ne mijenja ništa u pokrivenosti selektora.
Specifikacija IKEv2 definira i obavještenje i pregovaranje o selektorima, a oznaka upozorenja neke implementacije ni u jednom slučaju ne zamjenjuje značenje protokola.
Sužavanje je tiše i vjerovatnije važno
Odgovarač može prihvatiti podskup ponuđenih selektora, a prihvaćeni skup može biti ispisan kroz nekoliko unosa, jedan kvalifikovan portom i drugi koji pokriva sve portove. Čitanje samo prvog reda kvalifikovanog portom potcjenjuje ono što je prihvaćeno; čitanje samo širokog reda ga precjenjuje. Uporedite ispisani predlog sa instaliranom politikom, jer predlog je ono što su peerovi rekli, a politika je ono što će jezgro upariti. Kada se ne slažu, tunel postoji, a saobraćaj ne, što je klasična povremena žalba. Obrnite lokalnu i udaljenu perspektivu kada upoređujete peere, jer lokalno svake strane je udaljeno one druge.
Unosi specifični za host s ograničenjem porta vrijede dvostrukog čitanja, jer upravo oni isključuju ICMP ili drugi port dok ping prema gatewayu ostaje funkcionalan.
Napravite jedan zapis za tok koji ne uspijeva
Zapišite izvor, odredište, porodicu adresa, protokol i port kako se vide pri odluci o zaštiti, uključujući svako namjerno prevođenje. To su vrijednosti koje moraju odgovarati selektoru, a to su i vrijednosti koje ljudi prepisuju po sjećanju kada tiket dođe do trećeg para ruku.
Zatim identificirajte dijete SA i njegove smjerne brojače: swanctl --list-sas daje sažetak asocijacije na strongSwan hostu, a ip -s xfrm state daje brojače. Čitajte ih nakon svježeg dozvoljenog zahtjeva, a ne dok sistem miruje. Izostanak rasta odlaznog saobraćaja ukazuje na selekciju ili lokalni put; odlazni bez odgovarajućeg dolaznog ukazuje na peera, njegovo prosljeđivanje ili njegove odgovore.
Završena razmjena aplikacije nadjačava bilo koji brojač, zato test treba završiti na aplikaciji, a ne na indikatoru tunela.
Odaberite ispravku nakon toga
Tek nakon što taj zapis postoji, postoji ispravka koju treba odabrati: prihvaćeni selektori, ruta, filtriranje, implementacija peera ili granica koju ste sada dokazali. Resetovanje peera mijenja nekoliko stanja odjednom i često vraća saobraćaj bez objašnjenja koje je bilo pogrešno, pa se prekid vraća. Držite ispise stanja jezgra izvan tiketa, jer mogu sadržavati ključeve, a kratak sažetak je dovoljan svakome kome treba pomoć.
Kada se zapis protivi vašoj prvoj teoriji, vjerujte zapisu i prepišite teoriju; ta navika vrijedi više od bilo koje pojedinačne linije loga o kojoj se ovdje govori.