Odpovědi DPD dokazují, že protějšek IKE je živý, ne že vaše data tečou
Odpovědi o životnosti, oznámení o doplňování a zúžené selektory popisují tři různé věci. Čtěte je odděleně, než jedno z nich obviníte ze zaseknutí.
Protokoly IPsec mohou ukazovat odpovědi o životnosti, zatímco aplikace před nimi stojí, a obě skutečnosti mohou platit současně. Odpověď DPD potvrzuje, že zpracování IKE protějšku v tu chvíli odpovědělo; nic neříká o tom, zda potomkový SA přenáší paket, který potřebujete. Považovat každé varování poblíž výpadku za jeho příčinu je způsob, jak se problém selektoru diagnostikuje jako chyba protokolu. Nejčastěji se pletou tři pozorování a ta odpovídají na tři různé otázky. Čtěte je podle souvislosti a účelu, než je začnete číst podle časové značky.
Co každé pozorování dokazuje
Tabulka odděluje, co každé pozorování potvrzuje, od toho, co ho pouze doprovází.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Žádné ze tří není samo o sobě chybou. Každé začne být zajímavé teprve vedle toku, který ladíte, a řádek, který nelze svázat s konkrétním tokem, je kontext, nikoli důkaz.
Životnost není zdraví dat
DPD běží jako výměna INFORMATIONAL, rozhovor řídicí roviny mezi démony IKE. Odpověď dokazuje, že proces IKE protějšku je dostupný a ochotný odpovědět, a vypršení času dokazuje, že není. Ani jeden výsledek neprověřuje potomkový SA, selektory, cestu předávání ani odpověď aplikace, takže zdravé DPD vedle zastaveného přenosu je souvislý obraz, nikoli rozpor.
Proto jsou řádky o životnosti nejméně užitečnou částí tiketu datové roviny, ať už v horní části záznamu vypadají jakkoli uklidňujícím dojmem.
Oznámení o doplňování je tvrzení o doplňování
Doplňování TFC je nejvíce přečítaný řádek v těchto protokolech. Říká, že doplňování pro důvěrnost toku provozu nebude pro tento potomkový SA přijato, což je tvrzení o volitelné funkci doplňování, nikoli odmítnutí ochrany ESP. Nalézt ho poblíž selhání je obvykle náhoda daná mnohomluvností a zapnutí či vypnutí doplňování nic nemění na pokrytí selektorů.
Specifikace IKEv2 definuje jak oznámení, tak vyjednávání selektorů, a výstražný štítek implementace v žádném z obou případů nenahrazuje význam protokolu.
Zužování je tišší a pravděpodobněji důležité
Odpovídající strana může přijmout podmnožinu nabízených selektorů a přijatá množina může být vytištěna v několika položkách, jedna kvalifikovaná portem a druhá pokrývající všechny porty. Čtení jen prvního řádku kvalifikovaného portem podhodnocuje, co bylo přijato; čtení jen širokého řádku to nadhodnocuje. Porovnejte vytištěný návrh s nainstalovanou politikou, protože návrh je to, co protějšky řekly, a politika je to, co jádro bude porovnávat. Když se neshodují, tunel existuje a provoz ne, což je klasická občasná stížnost. Při porovnávání protějšků obraťte místní a vzdálenou perspektivu, protože místní každé strany je vzdálené té druhé.
Položky specifické pro hostitele s omezením portu stojí za dvojí čtení, protože právě ony vylučují ICMP nebo druhý port, zatímco ping na bránu zůstává funkční.
Vytvořte jeden záznam pro selhávající tok
Zaznamenejte zdroj, cíl, rodinu adres, protokol a port tak, jak je vidět při rozhodnutí o ochraně, včetně jakéhokoli záměrného překladu. To jsou hodnoty, které musí odpovídat selektoru, a také hodnoty, které lidé přepisují z paměti, když se tiket dostane ke třetímu páru rukou.
Poté určete potomkový SA a jeho směrová počítadla: swanctl --list-sas dává souhrn asociace na hostiteli strongSwan a ip -s xfrm state dává počítadla. Čtěte je po čerstvém povoleném požadavku, ne když systém nečinně stojí. Žádný nárůst odchozího provozu ukazuje na výběr nebo místní cestu; odchozí bez odpovídajícího příchozího ukazuje na protějšek, jeho předávání nebo jeho odpovědi.
Dokončená výměna aplikace převyšuje kterékoli počítadlo, proto by test měl skončit u aplikace, nikoli u indikátoru tunelu.
Poté zvolte opravu
Teprve když tento záznam existuje, je z čeho vybírat opravu: přijaté selektory, trasa, filtrování, implementace protějšku nebo hranice, kterou jste nyní prokázali. Resetování protějšku mění několik stavů najednou a často obnoví provoz, aniž by vysvětlilo, který byl špatný, takže výpadek se vrátí. Uchovávejte výpisy stavu jádra mimo tikety, protože mohou obsahovat klíče a úzký souhrn stačí každému, kdo potřebuje pomoci.
Když záznam odporuje vaší první teorii, věřte záznamu a teorii přepište; tento zvyk má větší cenu než kterýkoli jednotlivý řádek protokolu zmíněný zde.