IPsec â sawl is-rwydwaith yn colli traffig dychwelyd? Cyfrifwch y reqidau

Mae'r traffig yn gadael un safle ac yn peidio â dychwelyd byth, mae'r ddau borth yn adrodd am drafodaeth wedi'i chwblhau, a'r unig gli yw pentyrru o becynnau allan heb atebion. Ar bwynt terfyn Linux, nid yw'r achos arferol yn gryfder amgryptio, MTU na thabl llwybro. Y manylder yw'r cofnodion polisi a'r rhif sy'n cysylltu pob polisi â chymdeithas diogelwch. Mae'r weithdrefn isod yn darllen y ddau gronfa ddata hyn cyn cyffwrdd ag unrhyw beth arall.

Gwahanwch y symptom cyn newid unrhyw beth

Mae methiant un ffordd â thrafodaeth IKE wedi'i chwblhau yn culhau'r broblem i'r llwybr data. Naill ai cyfatebai'r polisi allan a chafodd yr ateb ei daflu, neu ni chyrhaeddodd yr ateb o gwbl oherwydd nad oedd gan y ochr draw unrhyw beth i'w anfon drwyddo. O safbwynt rhaglen mae'r ddau yn edrych yn unfath, ac mae'r cronfeydd xfrm yn gwahaniaethu rhyngddynt.

Peidiwch â dechrau gyda'r MTU. Mae MTU anghywir yn achosi tagfeydd a symptomau darnio, nid hollt cyfeiriad glân gyda rhifyddion allan yn codi.

Darllenwch y gronfa bolisi a'r gronfa cyflwr

Ar Linux, cofnodion polisi sy'n penderfynu amgryptio, felly polisi sy'n cyfateb, nid llwybr, sy'n rhoi pecyn yn y twnnel. Rheswch ip xfrm policy i weld y detholwyr, cyfeiriad, blaenoriaeth a thempled pob cofnod, a ip xfrm state i weld y cymdeithasau sydd wedi'u sefydlu gyda'u reqidau. Mae'r polisi a'r gymdeithas yn cael eu cysylltu gan y reqid hwnnw.

Edrychwch ar y tair cyfeiriad. Mae allan a mewn yn cynnwys traffig i ac o'r gwesteiwr hwn; mae'r cyfeiriad ymlaen yn bwysig pan fo'r gwesteiwr yn llwybro ar gyfer eraill. Mae cofnod ar goll neu heb gyfateb mewn un cyfeiriad yn esbonio canlyniad un ffordd heb unrhyw fai cryptograffig.

Yr anghymesuredd clasurol: un reqid ar gyfer sawl is-rwydwaith

Mae methiant cyffredin yn dod o gymar sy'n gosod polisïau ar gyfer pob is-rwydwaith a drafodwyd o dan un reqid, sy'n digwydd gyda generate_policy require racoon. Mae'r traffig wedyn yn gadael drwy'r gymdeithas a sefydlwyd olaf, tra bo'r ochr draw yn cadw cymdeithas ar wahân ar gyfer pob is-rwydwaith. Daw'r atebion ar gymdeithas nad yw ei reqid yn nodi'r polisi a ddylai eu derbyn, ac mae'r cnewyllyn yn eu taflu ar ôl dadgryptio.

Mae'r cywiriad yn newid ffurfweddiad, nid yn rheol mur tân: generate_policy unique; yn rhoi ei reqid ei hun i bob polisi, fel bod cymdeithasau'r cymar fesul polisi yn cael partneriaid cyfatebol. Cymhwyswch ef, trafodwch eto, a chyfrifwch y reqidau gwahanol ar gyfer yr is-rwydweithiau rydych yn eu disgwyl cyn cyhoeddi llwyddiant.

Os yw dau is-rwydwaith yn dal i rannu un reqid tra bo'r ochr draw yn disgwyl dau, rydych wedi dod o hyd i'r anghymesuredd. Cofnodwch y mapio, oherwydd dyma'r dystiolaeth bod y newid nesaf wedi'i drwsio neu wedi'i gadw.

Mae'r detholwyr yn dod o'r drafodaeth, nid o'ch ffurfweddiad

Yr ystodau a warchodir yw'r hyn y cytunodd y ddau ben arno, nid yr hyn y gofynnodd un ochr amdano. Mae cleient sy'n cynnig pâr o westeiwyr yn erbyn ystod pell eang yn cael fersiwn gul y porth, ac ni all y cleient ei ehangu. Darllenwch y detholwyr sydd wedi'u gosod yn hytrach na'r rhai yn eich ffeil leol.

Pan fo'r nod yn groes, sef cadw un cyrchfan y tu allan i'r twnnel, ychwanegwch bolisi osgoi â rhif blaenoriaeth is fel ei fod yn curo'r cofnod a osodwyd yn awtomatig. Mae polisi heb dempled yn caniatáu testun clir, sy'n ei wneud yn eithriad bwriadol ar gyfer cofnod newid yn hytrach na cham dadfygio.

Gwiriwch yn y drefn hon, a gwybod sut i droi'n ôl

Rhestrwch bolisïau ar gyfer pob is-rwydwaith yn y ddau gyfeiriad, gan gynnwys ymlaen os yw'r gwesteiwr yn llwybro. Cyfrifwch y reqidau gwahanol a chadarnhewch un fesul polisi ar yr ochr sy'n ei ddisgwyl. Cymharwch y detholwyr sydd wedi'u gosod â'r rhai a drafodwyd. Ailddarllenwch y rhifyddion fesul cymdeithas ar ôl ail-allweddu, oherwydd efallai bod y gymdeithas a archwiliwyd gennych eisoes wedi mynd. Gwiriwch lwybrau olaf, oherwydd mae llwybr ar goll i'r is-rwydwaith pell yn cynhyrchu symptom un ffordd tebyg gyda rhifyddion polisi glân.

Cyn newid y cymar, cadwch allbwn presennol y ddau orchymyn xfrm. Os nad yw'r gosodiad newydd yn adfer y cyfeiriad dychwelyd, mae adfer yr allbwn hwnnw'n atgofio cyflymach na ailadeiladu'r twnnel o'r cof, ac mae'n cadw'r gymhariaeth yn onest.