Οι απαντήσεις DPD αποδεικνύουν ότι ο ομότιμος IKE είναι ζωντανός, όχι ότι ρέουν τα δεδομένα σας
Οι απαντήσεις ζωτικότητας, μια ειδοποίηση γεμίσματος και οι στενωμένοι επιλογείς περιγράφουν τρία διαφορετικά πράγματα. Διαβάστε τα χωριστά πριν κατηγορήσετε ένα από αυτά για μια στασιμότητα.
Τα αρχεία καταγραφής IPsec μπορούν να δείχνουν απαντήσεις ζωτικότητας ενώ η εφαρμογή μπροστά τους έχει κολλήσει, και τα δύο γεγονότα μπορούν να ισχύουν ταυτόχρονα. Μια απάντηση DPD αποδεικνύει ότι η επεξεργασία IKE του ομοτίμου απάντησε εκείνη τη στιγμή· δεν λέει τίποτα για το αν το θυγατρικό SA μεταφέρει το πακέτο που σας ενδιαφέρει. Το να αντιμετωπίζετε κάθε προειδοποίηση κοντά σε μια διακοπή ως αιτία της είναι ο τρόπος με τον οποίο ένα πρόβλημα επιλογέα διαγιγνώσκεται ως σφάλμα πρωτοκόλλου. Τρεις παρατηρήσεις συγχέονται συχνότερα, και απαντούν σε τρία διαφορετικά ερωτήματα. Διαβάστε τις κατά συσχέτιση και σκοπό πριν τις διαβάσετε κατά χρονική σήμανση.
Τι αποδεικνύει κάθε παρατήρηση
Ο πίνακας διαχωρίζει τι τεκμηριώνει κάθε παρατήρηση από το τι απλώς τη συνοδεύει.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Καμία από τις τρεις δεν είναι σφάλμα από μόνη της. Η καθεμία γίνεται ενδιαφέρουσα μόνο δίπλα στη ροή που εντοπίζετε σφάλματα, και μια γραμμή που δεν μπορεί να συνδεθεί με συγκεκριμένη ροή είναι πλαίσιο και όχι απόδειξη.
Η ζωτικότητα δεν είναι υγεία δεδομένων
Το DPD εκτελείται ως ανταλλαγή INFORMATIONAL, μια συνομιλία επιπέδου ελέγχου μεταξύ δαιμόνων IKE. Μια απάντηση αποδεικνύει ότι η διεργασία IKE του ομοτίμου είναι προσβάσιμη και πρόθυμη να απαντήσει, και μια λήξη χρόνου αποδεικνύει ότι δεν είναι. Κανένα αποτέλεσμα δεν δοκιμάζει το θυγατρικό SA, τους επιλογείς, τη διαδρομή προώθησης ή την απάντηση της εφαρμογής, επομένως ένα υγιές DPD δίπλα σε μια σταματημένη μεταφορά είναι συνεκτική εικόνα και όχι αντίφαση.
Γι' αυτό οι γραμμές ζωτικότητας είναι το λιγότερο χρήσιμο μέρος ενός δελτίου επιπέδου δεδομένων, όσο καθησυχαστικές κι αν φαίνονται στην κορυφή του αρχείου.
Η ειδοποίηση γεμίσματος είναι δήλωση για το γέμισμα
Το γέμισμα TFC είναι η γραμμή που διαβάζεται υπερβολικά περισσότερο σε αυτά τα αρχεία. Λέει ότι το γέμισμα εμπιστευτικότητας ροής κίνησης δεν θα γίνει δεκτό για εκείνο το θυγατρικό SA, το οποίο είναι δήλωση για προαιρετική λειτουργία γεμίσματος και όχι απόρριψη της προστασίας ESP. Το να το βρίσκετε κοντά σε αποτυχία είναι συνήθως σύμπτωση φλυαρίας, και η ενεργοποίηση ή απενεργοποίηση του γεμίσματος δεν αλλάζει τίποτα στην κάλυψη των επιλογέων.
Η προδιαγραφή IKEv2 ορίζει και την ειδοποίηση και τη διαπραγμάτευση επιλογέων, και η ετικέτα προειδοποίησης μιας υλοποίησης δεν αντικαθιστά το νόημα του πρωτοκόλλου σε καμία από τις δύο περιπτώσεις.
Η στένωση είναι πιο ήσυχη και πιθανότερα σημαντική
Ένας αποκρινόμενος μπορεί να δεχτεί ένα υποσύνολο των προσφερόμενων επιλογέων, και το αποδεκτό σύνολο μπορεί να εκτυπωθεί σε πολλές καταχωρίσεις, μία με προσδιορισμό θύρας και άλλη που καλύπτει όλες τις θύρες. Το διάβασμα μόνο της πρώτης γραμμής με προσδιορισμό θύρας υποτιμά το τι έγινε δεκτό· το διάβασμα μόνο της ευρείας γραμμής το υπερεκτιμά. Συγκρίνετε την εκτυπωμένη πρόταση με την εγκατεστημένη πολιτική, γιατί η πρόταση είναι αυτό που είπαν οι ομότιμοι και η πολιτική είναι αυτό που θα αντιστοιχίσει ο πυρήνας. Όταν διαφωνούν, η σήραγγα υπάρχει και η κίνηση όχι, που είναι το κλασικό διαλείπον παράπονο. Αντιστρέψτε την τοπική και την απομακρυσμένη οπτική όταν συγκρίνετε ομοτίμους, αφού το τοπικό κάθε πλευράς είναι το απομακρυσμένο της άλλης.
Οι καταχωρίσεις ειδικές για υπολογιστή με περιορισμό θύρας αξίζουν διπλό διάβασμα, γιατί αυτές είναι που αποκλείουν το ICMP ή μια δεύτερη θύρα αφήνοντας ένα ping προς την πύλη να λειτουργεί.
Δημιουργήστε μία εγγραφή για τη ροή που αποτυγχάνει
Καταγράψτε πηγή, προορισμό, οικογένεια διευθύνσεων, πρωτόκολλο και θύρα όπως φαίνονται στην απόφαση προστασίας, συμπεριλαμβανομένης οποιασδήποτε σκόπιμης μετάφρασης. Αυτές είναι οι τιμές που πρέπει να ταιριάξουν με έναν επιλογέα, και είναι επίσης οι τιμές που οι άνθρωποι ξαναγράφουν από μνήμη όταν το δελτίο φτάσει σε τρίτο ζευγάρι χεριών.
Στη συνέχεια, εντοπίστε το θυγατρικό SA και τους κατευθυντικούς μετρητές του: swanctl --list-sas δίνει τη σύνοψη συσχέτισης σε έναν κεντρικό υπολογιστή strongSwan, και ip -s xfrm state δίνει τους μετρητές. Διαβάστε τα μετά από ένα πρόσφατο επιτρεπόμενο αίτημα και όχι όσο το σύστημα είναι αδρανές. Καμία αύξηση εξερχόμενης κίνησης δείχνει προς την επιλογή ή την τοπική διαδρομή· εξερχόμενη χωρίς αντίστοιχη εισερχόμενη δείχνει προς τον ομότιμο, την προώθησή του ή τις απαντήσεις του.
Μια ολοκληρωμένη ανταλλαγή εφαρμογής υπερισχύει οποιουδήποτε μετρητή, γι' αυτό η δοκιμή πρέπει να τελειώνει στην εφαρμογή και όχι στην ένδειξη της σήραγγας.
Επιλέξτε τη διόρθωση μετά
Μόνο όταν υπάρχει αυτή η εγγραφή υπάρχει διόρθωση για επιλογή: αποδεκτοί επιλογείς, διαδρομή, φιλτράρισμα, υλοποίηση ομοτίμου ή ένα όριο που μόλις αποδείξατε. Η επαναφορά του ομοτίμου αλλάζει πολλές καταστάσεις ταυτόχρονα και συχνά επαναφέρει την κίνηση χωρίς να εξηγεί ποια ήταν λάθος, οπότε η διακοπή επιστρέφει. Κρατήστε τα dumps κατάστασης πυρήνα έξω από τα δελτία, γιατί μπορούν να περιέχουν κλειδιά και η στενή σύνοψη αρκεί για όποιον χρειάζεται να βοηθήσει.
Όταν η εγγραφή αντιφάσκει με την πρώτη σας θεωρία, πιστέψτε την εγγραφή και ξαναγράψτε τη θεωρία· αυτή η συνήθεια αξίζει περισσότερο από οποιαδήποτε μεμονωμένη γραμμή αρχείου που συζητείται εδώ.