Razlikovanje IKEv2 fragmentacije od problema s lancem certifikata

Tunel je radio na uredskoj mreži i zastaje kod kuće, a zapis pokazuje da se prva razmjena završava prije nego što se bilo šta drugo dogodi. Taj obrazac upućuje na razmjenu autentifikacije, a ne na akreditive: lanac certifikata čini tu poruku mnogo većom od prethodne, a put koji ne voli velike datagrame tiho će je odbaciti. Uključena su dva različita mehanizma fragmentacije, a znanje na koji gledate odlučuje o popravci.

Dva mehanizma fragmentacije, jedan simptom

IKEv2 ima vlastito proširenje fragmentacije, definirano u RFC 7383, koje dijeli zaštićene IKE poruke na manje IKE poruke. Strane pregovaraju o toj mogućnosti, a poruku ponovno sastavlja implementacija IKE-a, a ne IP sloj.

Obična IP fragmentacija je drugi mehanizam s drugim načinom kvara. Usmjerivač između strana fragmentira veliki datagram ili ga odbacuje i vraća ICMP poruku koja možda nikad ne stigne do pošiljaoca. Neke mreže tiho odbacuju fragmente, a neki posredni uređaji obrađuju prvi fragment ali ne ostale. Iz perspektive aplikacije sva tri slučaja izgledaju identično.

NAT traversal dodaje treću varijablu, jer se ESP tada obavija u UDP i vanjski paket postaje veći dok izgleda kao običan UDP saobraćaj na portu 4500. Put koji dobro propušta UDP i dalje može zakazati na datagramu koji više ne staje.

Pročitajte razmjenu koja je zakazala

Tražite prijelaz, a ne grešku. Zapis koji pokazuje da je početna razmjena poslana i odgovorena, nakon čega slijedi ništa, govori vam da sljedeća poruka nikad nije dovršena. Privremeno podignite nivo zapisa i uporedite prijavljene veličine na obje strane.

Ono što želite utvrditi jeste da li je odgovarač uopće vidio zahtjev. Ako je inicijator nešto poslao, a odgovarač nema nikakav zapis o tome, problem je u dostavi. Ako je odgovarač raščlanio zahtjev i odbio ga, problem je u samom certifikatu, a fragmentacija odvlači pažnju. Ta razlika vrijedi više od stranice poruka o isteku vremena.

Promijenite put, ne certifikat

Testirajte istog klijenta, isti certifikat i istu konfiguraciju s druge mreže. Mobilni hotspot je obično najjeftiniji drugi put i istinski je različit od uredske veze, a ne samo nominalno.

Ako se rukovanje dovrši na drugom putu, lanac certifikata je u redu i prvi put je varijabla. Ako podjednako zakazuje na oba, prestanite testirati mreže i pogledajte same poruke. To jedno poređenje uklanja oko polovine mogućih objašnjenja.

Izmjerite razmjenu prije nego što bilo šta uredite

Uzmite veličinu lanca i veličinu puta. Oba broja ograničavaju šta rukovanje može poslati i oba su jeftina za mjerenje:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

Prva dva daju broj certifikata i veličinu datoteke, što je razuman pokazatelj koliko će poruka autentifikacije biti velika. Ping proba izvještava da li datagram te veličine preživljava put, a brojači interfejsa pokazuju da li su fragmenti odbačeni na vašoj strani. Na Windowsu je ekvivalentna proba ping sa zastavicom do-not-fragment i eksplicitnom veličinom korisnog tereta.

Ponavljajte probu prema dolje dok ne uspije. Najveća veličina koja prođe radni je budžet za taj put i korisnija je od bilo koje objavljene zadane vrijednosti.

Popravite sloj koji je zaista pokvaren

Ako put odbacuje velike datagrame, omogućite IKE fragmentaciju na obje strane i potvrdite da je proširenje pregovarano, a ne samo ponuđeno. Ako put loše rukuje fragmentima na IP nivou, popravka pripada tamo ili u MTU vanjskog interfejsa, a ne u spremište certifikata.

Ako je lanac nepotrebno dug, skratite ga na posredničke certifikate koji su strani zaista potrebni. Uklanjanje korijena kojem klijent već vjeruje razumno je održavanje; uklanjanje posrednika nije, a isključivanje provjere da bi se poruka smanjila mijenja problem dostave za sigurnosni problem.

Zapišite koji ste mehanizam promijenili i kako je rukovanje izgledalo nakon toga. Sljedeća pojava obično je na drugoj mreži s istim simptomom, a bilješka je ono što dva sata pretvara u deset minuta.