Gwahaniaethu rhannu IKEv2 od problem cadwyn tystysgrifau

Roedd y twnnel yn gweithio ar rwydwaith y swyddfa ac mae’n stopio gartref, ac mae’r log yn dangos bod y cyfnewidiad cyntaf yn cwblhau cyn i unrhyw beth arall ddigwydd. Mae’r patrwm hwnnw’n pwyntio at y cyfnewidiad dilysu, nid at gymwysterau: mae cadwyn tystysgrifau yn gwneud y neges honno’n llawer mwy na’r un o’r blaen, a bydd llwybr nad yw’n hoffi datagramau mawr yn ei gollwng yn dawel. Mae dau fecanwaith rhannu gwahanol dan sylw, ac mae gwybod pa un rydych chi’n edrych arno yn penderfynu’r atgyweiriad.

Dau fecanwaith rhannu, un symptom

Mae gan IKEv2 ei estyniad rhannu ei hun, a ddiffinnir yn RFC 7383, sy’n rhannu negeseuon IKE gwarchodedig yn negeseuon IKE llai. Mae’r cymheiriaid yn trafod y gallu hwnnw, ac mae neges yn cael ei hailgynnull gan weithrediad IKE yn hytrach na chan yr haen IP.

Mae rhannu IP cyffredin yn fecanwaith gwahanol â modd methu gwahanol. Mae llwybrydd rhwng y cymheiriaid yn rhannu datagram mawr, neu’n ei ollwng ac yn dychwelyd neges ICMP na fydd efallai byth yn cyrraedd yr anfonwr. Mae rhai rhwydweithiau’n taflu darnau’n dawel, ac mae rhai blwch canol yn trin y darn cyntaf ond nid y gweddill. O safbwynt y rhaglen, mae’r tri achos yn edrych yr un fath.

Mae croesi NAT yn ychwanegu trydydd newidyn, oherwydd yna mae ESP yn cael ei lapio mewn UDP ac mae’r pecyn allanol yn tyfu tra’n edrych fel traffig UDP cyffredin ar borth 4500. Gall llwybr sy’n pasio UDP yn iawn fethu o hyd ar ddatagram nad yw’n ffitio mwyach.

Darllenwch y cyfnewidiad a fethodd

Chwiliwch am y trawsnewidiad yn hytrach na’r gwall. Mae log sy’n dangos y cyfnewidiad cychwynnol wedi’i anfon a’i ateb, ac yna dim, yn dweud wrthych na chwblhaodd y neges nesaf byth. Codwch lefel y log dros dro a chymharwch y meintiau a adroddwyd ar y ddau gymhorydd.

Yr hyn rydych chi am ei sefydlu yw a welodd yr ymatebydd y cais o gwbl. Os anfonodd y cychwynnydd rywbeth ac nad oes gan yr ymatebydd unrhyw gofnod ohono, y cyflenwi yw’r broblem. Os dadansoddodd yr ymatebydd gais a’i wrthod, y dystysgrif ei hun yw’r broblem, ac mae rhannu’n tynnu sylw. Mae’r gwahaniaeth hwnnw’n werth mwy na thudalen o negeseuon terfyn amser.

Newidiwch y llwybr, nid y dystysgrif

Profwch yr un cleient, yr un dystysgrif a’r un ffurfweddiad o rwydwaith gwahanol. Mae man poeth symudol fel arfer yw’r ail lwybr rhataf, ac mae’n wirioneddol wahanol i gyswllt y swyddfa, nid yn enwol yn unig.

Os bydd yr ysgwyd llaw yn cwblhau ar yr ail lwybr, mae’r gadwyn tystysgrifau’n iawn a’r llwybr cyntaf yw’r newidyn. Os bydd yn methu’n union yr un fath ar y ddau, stopiwch brofi rhwydweithiau ac edrychwch ar y negeseuon eu hunain. Mae’r un gymhariaeth honno’n dileu tua hanner yr esboniadau posibl.

Mesurwch y cyfnewidiad cyn i chi olygu unrhyw beth

Sicrhewch faint y gadwyn a maint y llwybr. Mae’r ddau rif yn cyfyngu ar yr hyn y gall yr ysgwyd llaw ei anfon, ac mae’r ddau’n rhad i’w mesur:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

Mae’r ddau gyntaf yn rhoi nifer y tystysgrifau a maint y ffeil, sy’n ddirprwy resymol ar gyfer pa mor fawr fydd y neges dilysu. Mae’r prawf ping yn adrodd a yw datagram o’r maint hwnnw’n goroesi’r llwybr, ac mae cownteri’r rhyngwyneb yn dangos a gafodd darnau eu gollwng ar eich pen chi. Ar Windows, y prawf cyfatebol yw ping gyda’r faner do-not-fragment a maint llwyth defnyddiol penodol.

Ailadroddwch y prawf tuag i lawr nes iddo lwyddo. Y maint mwyaf sy’n pasio yw’r gyllideb waith ar gyfer y llwybr hwnnw, ac mae’n fwy defnyddiol nag unrhyw ragosodiad cyhoeddedig.

Trwsiwch yr haen sydd mewn gwirionedd wedi torri

Os yw’r llwybr yn gollwng datagramau mawr, galluogwch rannu IKE ar y ddau gymhorydd a chadarnhewch fod yr estyniad wedi’i drafod yn hytrach na’i gynnig yn unig. Os yw’r llwybr yn trin darnau’n wael ar lefel IP, mae’r atgyweiriad yn perthyn yno neu yn MTU y rhyngwyneb allanol, nid yn storfa’r tystysgrifau.

Os yw’r gadwyn yn ddiangen o hir, torrwch hi i’r tystysgrifau canolraddol sydd eu hangen ar gymhorydd mewn gwirionedd. Mae tynnu gwreiddyn y mae’r cleient eisoes yn ymddiried ynddo yn waith cynnal rhesymol; nid yw tynnu un canolraddol felly, ac mae analluogi dilysu i grebachu neges yn cyfnewid problem cyflenwi am un diogelwch.

Nodwch pa fecanwaith a newidiwyd gennych a sut roedd yr ysgwyd llaw yn edrych wedyn. Mae’r digwyddiad nesaf fel arfer ar rwydwaith gwahanol gyda’r un symptom, a’r nodyn yw’r hyn sy’n troi dwy awr yn ddeng munud.