La SA filla d’IPsec està activa, però els comptadors de paquets continuen a zero

Heu aixecat el túnel, el temporitzador de renovació de claus va baixant i totes dues direccions encara marquen zero paquets. Aquest parell de xifres no diu que el par hagi rebutjat el túnel: una CHILD SA instal·lada amb comptadors inactius és l’estat normal d’una associació amb què encara no ha coincidit res. La feina és demostrar que un paquet hauria d’haver coincidit i després trobar el punt on va sortir del camí que descriuen els selectors. Feu-ho un cop, en ordre, i manteniu la petició idèntica entre execucions.

Què demostra realment un comptador a zero

Una CHILD SA és un parell de selectors més les claus i els SPI que xifren el trànsit que cau dins d’aquests rangs. Instal·lar-la només vol dir que tots dos pars han acordat aquests rangs i les claus derivades; el nucli la mantindrà hores sense que arribi cap paquet. Per tant, la pregunta no és mai si el túnel existeix, sinó si algun paquet de la vostra prova ha caigut dins dels rangs que han negociat els dos pars. Si no n’hi ha caigut cap, els comptadors es queden a zero i l’associació caduca sense usar-se al final de la seva vida.

Aquesta distinció canvia què inspeccioneu primer. Una proposta rebutjada, un error d’autenticació o una IKE SA moribunda apareixen al registre o a la llista d’SA, no com un zero silenciós. Un túnel que negocia net i després queda inactiu apunta en canvi a la coincidència, l’encaminament o l’origen del trànsit de prova.

Envieu un flux que pugueu descriure abans d’enviar-lo

Trieu una destinació dins de la subxarxa protegida i obriu-hi una connexió nova; una pàgina que vau carregar fa una hora pot servir-se de la memòria cau, i una resposta emmagatzemada no toca mai el túnel. Després anoteu quatre valors mentre la petició encara és hipotètica: l’adreça d’origen que l’aplicació enllaçarà, la destinació, la família d’adreces i el nom o parell de selectors de la filla que esteu vigilant. Aquest registre és el que converteix un comptador pla en una afirmació comprovable.

L’adreça d’origen és el valor que la gent s’alta i és el que fa fallar la prova més sovint. Un portàtil amb una adreça per cable, una adreça Wi-Fi i una adreça de túnel pot enllaçar qualsevol d’elles segons la consulta de ruta, i només una pot ser dins del rang negociat. Feu servir una eina que us permeti fixar l’origen, com ara ping -I 10.1.0.5 10.2.0.9 o curl --interface 10.1.0.5, perquè el paquet no pugui triar en silenci una altra adreça. Quan l’execució fixada mou els comptadors i la no fixada no, heu trobat un problema d’encaminament, no un problema d’IPsec.

Quines xifres cal llegir i on viuen

A Linux, ip -s xfrm state imprimeix cada associació amb una línia lifetime current: el total de bytes i de paquets de la qual pertany només a aquella SA, seguida d’una línia stats: per als comptadors de repetició i d’errors. En un par amb strongSwan, swanctl --list-sas mostra una línia in i una línia out per cada filla instal·lada, i cadascuna acaba amb un recompte de bytes i de paquets; les eines stroke més antigues anomenen el mateix parell bytes_i i bytes_o. Llegiu les dues direccions per separat, perquè la que s’ha quedat plana és la troballa. Sumar-les amaga exactament l’asimetria que busqueu.

Totes dues vistes són per associació, així que una renovació instal·la un parell d’SPI nou i la vostra línia base torna a zero sense res trencat. Anoteu l’SPI que esteu vigilant abans que dispari el temporitzador de renovació, o comparareu una SA nova amb una xifra antiga. Si la sortida puja mentre l’entrada es queda plana, el selector ha coincidit i la resposta no ha tornat mai, cosa que trasllada la investigació al reenviament del par i a la seva pròpia política. La documentació de configuració d’IKEv2 de strongSwan cobreix el cicle de vida de la SA filla i el moment de la renovació darrere d’aquestes xifres.

El punt d’observació és una variable separada de l’origen del paquet. Una descàrrega per maquinari pot incrementar els comptadors de l’associació mentre una captura de programari a la interfície no mostra res, perquè els paquets descarregats salten el ganxo on seu la captura, i l’entrada pot divergir de la mateixa manera. Quan els dos no coincideixen, feu servir els comptadors per respondre si alguna cosa ha coincidit i la captura per respondre com era el paquet.

Ruta, selectors i on va néixer el paquet

Compareu tres coses costat a costat: la ruta que tria el nucli per a la vostra destinació, la política que encamina el trànsit cap al túnel i el parell de selectors que ha negociat la filla. ip route get 10.2.0.9 from 10.1.0.5 anomena la interfície i l’origen que faria servir el nucli, i sovint no és el parell que havíeu suposat. ip xfrm policy mostra les plantilles i els selectors instal·lats localment, mentre que swanctl --list-sas mostra què ha acordat el par. Una consulta que envia el paquet per la interfície física no arriba mai a la política, així que els comptadors no es poden moure.

Les discrepàncies arriben en diverses variants que des d’un comptador semblen idèntiques. Una destinació IPv6 fora d’un selector IPv4, una adreça d’origen de la subxarxa equivocada i una política més estreta que la filla produeixen el mateix zero. Arregleu primer la causa més estreta, perquè eixamplar un selector només per moure una xifra canvia què protegeix el túnel.

Després hi ha l’origen del paquet, el parany que una passarel·la posa al seu propi operador. El trànsit que genera la mateixa passarel·la es compara amb la política de sortida, mentre que un paquet que reenvia per a un client es compara amb la política de reenviament, així que un ping des de la màquina pot tenir èxit en un camí que cap client no pren mai.

Un canvi reversible i un informe que sobreviu a la revisió

Canvieu un sol element, repetiu la petició idèntica i llegiu els mateixos comptadors. Esborrar totes les regles del tallafoc o substituir tots els selectors alhora mourà una xifra i destruirà l’evidència que us va dir per què. Si la segona execució encara mostra zero, heu eliminat una hipòtesi en lloc de malgastar la tarda.

Escriviu la troballa en una forma que algú altre pugui reproduir: nom de la filla, rangs acceptats, l’origen que heu fixat, la destinació que heu provat, la direcció que s’ha quedat a zero i l’SPI que estàveu llegint. Aquesta frase separa una associació que ningú no ha utilitzat d’una aplicació remota que ha rebut el trànsit i l’ha refusat. Revertiu el canvi quan no ha mogut els comptadors i conserveu el registre; la persona següent comença on us heu aturat. No calia reconstruir res del túnel per a tot això, i aquest és el sentit de comprovar la coincidència abans de tocar la configuració.