Ymholiad cronfa ddata yn hongian dros IPsec: aildrefnu UDP neu TCP?
Mae ymholiad sy'n hongian ar ôl cwtsh llaw glân yn pwyntio tuag at du mewn llwybr y twnnel. Mae tair amod yn penderfynu a ddylech drwsio'r llwybr neu droi'n ôl at TCP ar 443.
Nid yw ymholiad sy'n hongian ar ôl cwtsh llaw TCP yn broblem llwybro. Mae namau llwybr yn peri i'r cwtsh llaw fethu, felly mae sesiwn sy'n sefydlu ac yna'n tewi yn pwyntio tuag at du mewn y llwybr: archwiliad, MTU, neu'r ffordd y mae pecynnau UDP y twnnel yn cyrraedd. Y penderfyniad o'ch blaen yw a ddylech drwsio'r llwybr hwnnw neu symud y twnnel i TCP. Mae tair amod yn penderfynu ar hyn, ac nid oes yr un ohonynt yn ymwneud â'r gronfa ddata.
Dosbarthwch yr aros cyn beio'r twnnel
Mae pedwar canlyniad yn edrych yn debyg i ddefnyddiwr ac yn golygu pethau hollol wahanol i beiriannydd.
| What the client sees | What it rules out |
|---|---|
| Connection refused | Nothing is listening on the address and port the client reached |
| Timeout before the handshake | A filter, a missing route, or the wrong address |
| Handshake completes, query hangs | The session exists, so look at inspection, MTU and packet order |
| Stalls that recover on retry | Often reordering, or a state table entry expiring |
Dim ond y ddwy res olaf sy'n cyfiawnhau amser ar y twnnel. Mae cysylltiad a wrthodwyd dros VPN fel arfer yn golygu bod y gronfa ddata'n gwrando ar loopback yn unig, sy'n broblem gwrandäwr, ac mae terfyn amser cyn y cwtsh llaw yn hidlydd neu'n llwybr. Nid yw'r naill na'r llall yn gwella drwy newid yr amgapsiwleiddio.
Ysgrifennwch y dosbarthiad yn y tocyn yn gyntaf. Dyma'r cam rhataf ac mae'n tynnu'r rhan fwyaf o'r gofod chwilio.
Tair amod sy'n penderfynu rhwng UDP a TCP
Mae traffig IPsec a amgapsiwleiddiwyd yn teithio dros UDP, ac mae UDP yn rhoi rhyddid i'r llwybr aildrefnu a gollwng heb ddweud wrth neb. Pan fydd aildrefnu'n gwthio pecynnau y tu allan i ffenestr gwrth-ailchwarae y twnnel, cânt eu gollwng yn dawel ac mae'r sesiwn TCP fewnol yn syml yn aros. Dyna'r mecanwaith y tu ôl i gwtsh llaw sy'n llwyddo ac ymholiad nad yw byth yn dychwelyd.
Mae trwsio'r llwybr neu droi'n ôl at TCP yn dibynnu ar dri pheth. Yn gyntaf, a oes colled pecynnau go iawn ar y llwybr, neu aildrefnu'n unig? Yn ail, a allwch newid ble mae archwiliad yn digwydd, neu eithrio'r twnnel hwn o'r gydran sy'n aildrefnu? Yn drydydd, a yw'r llwyth gwaith yn sensitif i batrwm yr aros, er enghraifft llawer o sesiynau amlblethog yn rhannu un cysylltiad?
Os mai colled yw'r ateb cyntaf a 'na' yw'r ail,TCP ar 443 yw'r dewis pragmataidd wrth gefn. Os mai 'ie' yw'r ail ateb, trwsiwch y llwybr a chadwch UDP.
Darllenwch gofnod y mur tân, nid gwall y rhaglen
Mae'r rhaglen yn adrodd terfyn amser, nad yw'n dweud dim wrthych am yr achos. Log y mur tân ei hun yw lle mae'r gollwng neu'r blocio yn ymddangos, felly hidlwch yn ôl cyfeiriadau'r gronfa ddata a'r rhaglen a chwiliwch am ollwng yn ogystal â derbyn.Gall llafnau atal bygythiadau ollwng pecynnau heb gynhyrchu gwall ar lefel y rhaglen, sef yn union siâp ymholiad sy'n hongian. Mae distawrwydd yn y log yn ddata hefyd: mae'n pwyntio at rywbeth nad yw'n logio, fel aildrefnu.
Gwiriwch y clwstwr hefyd. Gall clwstwr a gamgyflunwyd ddal sesiwn yn y tabl cyflwr ar un aelod tra bod y pecynnau'n dilyn llwybr aelod arall, felly mae atebion yn cyrraedd lle nad oes cyflwr. Mae'r arosiadau hynny'n edrych yn hap ac nid ydynt yn cydberthyn â llwyth.
Cymharwch y ddau ben cyn newid unrhyw beth, a chymharwch drefn cyrraedd yn hytrach na chyfrif pecynnau:
tcpdump -ni any udp port 4500 -w /tmp/encap.pcap
tcpdump -ni any tcp port 5432 -w /tmp/inner.pcapBeth mae TCP ar 443 yn ei gostio i chi mewn gwirionedd
Mae symud y twnnel i TCP yn tynnu symptom yr aildrefnu, oherwydd bod y blwch canol nawr yn gweld ffrwd drefnus. Mae hefyd yn creu TCP-dros-TCP. Mae'r cysylltiad allanol yn ail-drosglwyddo'r hyn y mae'r cysylltiad mewnol eisoes wedi'i ail-drosglwyddo, a gall un golled atal pob sesiwn amlblethog ar unwaith. Ar lwybr glân mae hyn yn anweledig. Ar un sy'n colli, mae'r gwellhad yn waeth na'r symptom.
Mae'r cyfnewid yn dderbyniol pan mai'r dewis arall yw dim cysylltedd, a dylid ei ddogfennu fel eithriad gyda pherchennog yn hytrach na'i amsugno fel arferol.
Cofnodwch y cludiant, y porth, ymholiad enghreifftiol a'r canlyniad a fesurwyd, ynghyd â'r dyddiad. Heb y cofnod hwnnw mae'r peiriannydd nesaf yn ailadrodd yr arbrawf, ac mae'r eithriad yn dawel yn dod yn bensaernïaeth.
Cadwch y penderfyniad yn adolygadwy
Mae diagnosis llwybr yn heneiddio'n gyflym. Caiff y blwch canol ei ddisodli, mae cyfluniad y llafn yn newid, caiff y cysylltiad ei uwchraddio, ac mae'r rheswm dros TCP ar 443 yn diflannu tra bo'r cyfluniad yn aros. Rhowch ddyddiad adolygu ar yr eithriad ac enwch yr amod a fyddai'n caniatáu ichi ddychwelyd at UDP.
Profwch y ddau gludiant ag ymholiad bach a chyflwyno canlyniadau mawr. Mae aildrefnu'n ymddangos fel arosiadau sy'n dibynnu ar faint, tra bo nam gwrandäwr yn atal y ddau faint yn gyfartal.