Les respostes DPD demostren que el parell IKE és viu, no que les vostres dades flueixin
Les respostes de vivacitat, una notificació d'emplenament i selectors estrets descriuen tres coses diferents. Llegiu-les per separat abans de culpar-ne una d'una aturada.
Els registres d'IPsec poden mostrar respostes de vivacitat mentre l'aplicació que tenen al davant s'atura, i tots dos fets poden ser certs alhora. Una resposta DPD estableix que el processament IKE del parell va respondre en aquell moment; no diu res sobre si el SA fill transporta el paquet que us importa. Tractar cada advertiment a prop d'una avaria com la seva causa és com un problema de selector es diagnostica com un error de protocol. Hi ha tres observacions que es confonen més sovint, i responen tres preguntes diferents. Llegiu-les per associació i propòsit abans de llegir-les per marca de temps.
Què demostra cada observació
La taula separa què estableix cada observació del que només acompanya.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Cap de les tres no és un error per si mateixa. Cadascuna esdevé interessant només al costat del flux que depureu, i una fila que no es pot lligar a un flux concret és context, no evidència.
La vivacitat no és la salut de les dades
DPD funciona com un intercanvi INFORMATIONAL, una conversa de pla de control entre dimonis IKE. Una resposta demostra que el procés IKE del parell és accessible i disposat a respondre, i un temps d'espera demostra que no ho és. Cap dels dos resultats prova el SA fill, els selectors, el camí de reenviament ni la resposta de l'aplicació, així que un DPD sa al costat d'una transferència aturada és una imatge coherent, no una contradicció.
Per això les línies de vivacitat són la part menys útil d'un tiquet de pla de dades, per tranquil·litzadores que semblin al capdamunt del registre.
La notificació d'emplenament és una afirmació sobre l'emplenament
L'emplenament TFC és la línia més sobrellegida d'aquests registres. Diu que l'emplenament de confidencialitat del flux de trànsit no s'acceptarà per a aquell SA fill, cosa que és una afirmació sobre una funció d'emplenament opcional i no un rebuig de la protecció ESP. Trobar-la a prop d'una fallada sol ser una coincidència de verbositat, i activar o desactivar l'emplenament no canvia res de la cobertura dels selectors.
L'especificació IKEv2 defineix tant la notificació com la negociació de selectors, i l'etiqueta d'advertiment d'una implementació no substitueix el significat del protocol en cap dels dos casos.
L'estrenyiment és més silenciós i més probable que importi
Un responedor pot acceptar un subconjunt dels selectors oferts, i el conjunt acceptat es pot imprimir en diverses entrades, una qualificada per port i una altra que cobreix tots els ports. Llegir només la primera línia qualificada per port subestima el que es va acceptar; llegir només la línia àmplia ho sobreestima. Compareu la proposta impresa amb la política instal·lada, perquè la proposta és el que van dir els parells i la política és el que el nucli farà coincidir. Quan no coincideixen, el túnel existeix i el trànsit no, que és la clàssica queixa intermitent. Invertiu la perspectiva local i remota quan compareu parells, perquè el local de cada costat és el remot de l'altre.
Les entrades específiques d'amfitrió amb restricció de port valen una doble lectura, perquè són les que exclouen ICMP o un segon port mentre deixen funcionant un ping a la passarel·la.
Construïu un registre per al flux que falla
Registreu l'origen, la destinació, la família d'adreces, el protocol i el port tal com es veuen en la decisió de protecció, incloent-hi qualsevol traducció deliberada. Aquests són els valors que han de coincidir amb un selector, i també són els valors que la gent reescriu de memòria quan el tiquet arriba a una tercera parella de mans.
A continuació, identifiqueu el SA fill i els seus comptadors direccionals: swanctl --list-sas dona el resum de l'associació en un amfitrió strongSwan, i ip -s xfrm state dona els comptadors. Llegiu-los després d'una petició permesa recent, no mentre el sistema està inactiu. Cap augment de sortida assenyala la selecció o el camí local; la sortida sense una entrada corresponent assenyala el parell, el seu reenviament o les seves respostes.
Un intercanvi d'aplicació complet supera qualsevol dels comptadors, per això la prova ha d'acabar a l'aplicació i no a l'indicador del túnel.
Trieu la correcció després
Només quan aquest registre existeix hi ha una correcció per triar: selectors acceptats, ruta, filtratge, implementació del parell o un límit que ara heu demostrat. Reiniciar el parell canvia diversos estats alhora i sovint restaura el trànsit sense explicar quin era erroni, de manera que l'avaria torna. Mantingueu els bolcats d'estat del nucli fora dels tiquets, perquè poden contenir claus i el resum estret és suficient per a qui necessiti ajudar.
Quan el registre contradiu la vostra primera teoria, creieu el registre i reescriviu la teoria; aquest hàbit val més que qualsevol línia de registre concreta tractada aquí.