Διπλά πακέτα IKE: βρείτε τη μετάβαση που λείπει

Το αρχείο καταγραφής δείχνει το ίδιο αίτημα IKE δύο φορές, κάποιος δείχνει το κινητό uplink και το δελτίο κλείνει με μια εικασία. Αυτή η εικασία είναι ο μύθος: ένα επαναλαμβανόμενο πακέτο είναι παρατήρηση για μία ανταλλαγή, όχι διάγνωση ζεύξης. Η αναμετάδοση είναι φυσιολογική συμπεριφορά με τους δικούς της κανόνες και εμφανίζεται σε υγιείς διαδρομές όποτε μια απάντηση αργεί. Ακολουθήστε την απάντηση πριν κατηγορήσετε μια διεπαφή.

Ο μύθος: ένα επαναλαμβανόμενο αίτημα αποδεικνύει απώλεια σε μία ζεύξη

Δύο διαφορετικά πράγματα παράγουν διπλότυπο και κανένα δεν κατονομάζει ένοχο. Ο αιτών μπορεί να επαναλάβει ένα αίτημα επειδή δεν έλαβε απάντηση, ή το σημείο σύλληψης μπορεί να δείξει το ίδιο πακέτο δύο φορές λόγω του πού συνδέεται στη στοίβα. Ένας ακροδέκτης που βλέπει εισερχόμενη και εξερχόμενη κίνηση στον ίδιο κεντρικό υπολογιστή θα καταγράψει ευχαρίστως ένα πακέτο ως δύο, και ο χειριστής που διαβάζει αυτό το αρχείο δεν έχει τρόπο να ξεχωρίσει τη διαφορά χωρίς τα αναγνωριστικά της ανταλλαγής. Αντιμετωπίστε το διπλότυπο ως συμβάν χρονομέτρου μέχρι να μπορείτε να πείτε ποιο από τα δύο κρατάτε.

Δύο uplink κάνουν τη σύγχυση χειρότερη αντί καλύτερη. Μία γραμμή καταγραφής κατονομάζει μία διεπαφή, ενώ η απάντηση μπορεί να έφυγε από την άλλη, άρα η διεπαφή στο μήνυμα περιγράφει πού εθεάθη ένα πακέτο και όχι το σχήμα της συνομιλίας. Γι' αυτό και η πρώτη ερώτηση είναι ποια ανταλλαγή κοιτάτε, όχι ποια ζεύξη είναι ελαττωματική.

Τι σας λέει πραγματικά η αναμετάδοση

Στο IKEv2, η αναμετάδοση λειτουργεί έτσι: ο αιτών επαναλαμβάνει ένα αίτημα όταν δεν έχει φτάσει απάντηση, και ο αποκρινόμενος μπορεί να ξαναστείλει την αποθηκευμένη απάντησή του αντί να υπολογίσει νέα. Τα αναγνωριστικά μηνυμάτων ανήκουν σε εκείνη την ανταλλαγή, και αυτό κάνει ένα επαναλαμβανόμενο αίτημα με το ίδιο αναγνωριστικό αναγνωρίσιμο ως εργασία του πρωτοκόλλου και όχι ως νέα απόπειρα. Μια αρχική απόπειρα χρειάζεται συχνά περισσότερα από μια διεύθυνση προέλευσης ή ένα SPI εκκινητή για συσχέτιση, οπότε το ίδιο το αρχείο ανταλλαγής της πλατφόρμας υπερτερεί μιας λίστας πακέτων. Το IKEv1 ακολουθεί διαφορετικούς κανόνες με διαφορετικά αναγνωριστικά, και μια προειδοποίηση προμηθευτή για διπλό πρώτο πακέτο δεν σημαίνει το ίδιο σε όλες τις εκδόσεις.

Άρα μια χρονοσφραγίδα αναμετάδοσης σας λέει ότι έληξε ένα χρονόμετρο. Δεν σας λέει ποιο άλμα ήταν αργό και σίγουρα δεν σας λέει ότι φταίει ο πάροχος. Αυτοί είναι ξεχωριστοί ισχυρισμοί, και μόνο ο δεύτερος είναι χρήσιμος σε ένα δελτίο.

Η πρακτική συνέπεια είναι να καταγράψετε την ανταλλαγή πριν βγάλετε συμπέρασμα. Σημειώστε τη τοπική διεύθυνση λήψης, τη διαδρομή απάντησης που επέλεξε η πολιτική, την πλειάδα του ομότιμου και τα αναγνωριστικά της ανταλλαγής σε ένα σημείο, γιατί καθένα απαντά σε διαφορετική ερώτηση όταν το αρχείο διαβαστεί αργότερα.

Τέσσερα σημεία παρατήρησης ως μία αλυσίδα

Σκεφτείτε την ανταλλαγή ως τέσσερις κρίκους σε μια αλυσίδα και όχι ως τέσσερα ξεχωριστά σημεία για να κοιτάξετε. Ένας κρίκος κρατά απόδειξη ή μένει άγνωστος, και η αλυσίδα είναι τόσο κατατοπιστική όσο ο πιο αδύναμος καταγεγραμμένος κρίκος της. Ο πίνακας παρακάτω είναι το απόθεμα: τι μπορεί να τεκμηριώσει κάθε θέση και τι αφήνει ανέγγιχτο.

Συμπληρώστε την αλυσίδα μόνο εκεί που έχετε πρόσβαση και σημειώστε τα υπόλοιπα ως άγνωστα αντί να τα συμπεράνετε. Ένα άγκιστρο που καταγράφει πακέτα σε ένα μηχάνημα δεν λέει τίποτα για το τι έλαβε το απομακρυσμένο μηχάνημα, και μια γραμμή καταγραφής ότι εθεάθη ένα αίτημα δεν είναι απόδειξη ότι έφυγε ποτέ απάντηση. Τα ειλικρινή κενά είναι πιο χρήσιμα από ένα αρχείο που μοιάζει πλήρες και χτίστηκε από εικασίες.

Βρείτε την πρώτη μετάβαση που λείπει

Περπατήστε την αλυσίδα από τον εκκινητή προς τα έξω και σταματήστε στον πρώτο κρίκο χωρίς απόδειξη. Αν η πύλη δεν καταγράφει ποτέ το αίτημα, το σφάλμα βρίσκεται στη διαδρομή πριν από αυτήν. Όταν η πύλη καταγράφει το ίδιο αίτημα ξανά και ξανά ενώ ο πελάτης δεν καταγράφει ποτέ απάντηση, ύποπτη είναι η κατεύθυνση επιστροφής: διεύθυνση προέλευσης, μετάφραση και φιλτράρισμα σε κάθε όριο που ελέγχετε. Αν η απάντηση φτάνει και ο πελάτης ακόμη δεν προχωρά, η ερώτηση άφησε τη μεταφορά και έγινε πολιτική ή κατάσταση.

Κρατήστε τον ομότιμο και το πρωτόκολλο σταθερά όσο συγκρίνετε, και θυμηθείτε ότι η καθυστέρηση, η απώλεια, η πολιτική και η κατάσταση παράγουν η καθεμία διαφορετικό χρονοδιάγραμμα. Ένα κινητό δίκτυο δεν είναι αυτόματα η αιτία, και μια σταθερή γραμμή δεν είναι αυτόματα αρκετά αξιόπιστη για κάθε απαίτηση. Καταγράψτε και τις δύο κατευθύνσεις όσο η ανταλλαγή είναι ζωντανή:

tcpdump -ni any -vv 'udp port 500 or udp port 4500'

Όταν η πρόσβαση σταματά πριν από το μακρινό άκρο, το αρχείο βοηθά ακόμη αν λέει πού σταματά. Μια σύλληψη μόνο στον εκκινητή μπορεί να δείξει ένα αίτημα να φεύγει και καμία απάντηση να φτάνει, κάτι που περιορίζει το σφάλμα σε όλα μετά από αυτό το άγκιστρο χωρίς να προσποιείται ότι γνωρίζει ποιο άλμα το έριξε. Σημειώστε τους μακρινούς κρίκους ως άγνωστους και αφήστε τον επόμενο άνθρωπο με πρόσβαση να τους συμπληρώσει. Γραμμένο έτσι, το αρχείο μένει ειλικρινές και ακόμη σύντομο.

Συγκρίνετε πριν αλλάξετε οτιδήποτε. Η επανάληψη του ίδιου αιτήματος προς τον ίδιο ομότιμο με το ίδιο πρωτόκολλο κρατά τις μεταβλητές μετρήσιμες, ενώ μια επαναφορά, μια ανανέωση κλειδιού ή μια αλλαγή πολιτικής ανάμεσα στις συλλήψεις καταστρέφει τη σύγκριση. Αν μια αλλαγή είναι αναπόφευκτη, καταγράψτε ξανά αμέσως μετά ώστε το πριν και το μετά να περιγράφουν ακόμη την ίδια ανταλλαγή.

Τι λέει μια χρήσιμη αναφορά

Μια αναφορά που αξίζει δράση συνδυάζει ένα αίτημα με την απάντησή του και κατονομάζει το πρώτο βήμα πίσω από το οποίο δεν υπάρχει απόδειξη. Αυτή η πρόταση αντέχει να διαβαστεί μια εβδομάδα αργότερα από μηχανικό που δεν ήταν εκεί, και δίνει στον επόμενο άνθρωπο ένα σημείο εκκίνησης αντί για έναν ύποπτο.

Μην αποδυναμώνετε ποτέ τους ελέγχους ταυτότητας και μην διευρύνετε το επιτρεπόμενο σύνολο πρωτοκόλλων μόνο για να ελέγξετε μια θεωρία αναμετάδοσης. Αποθηκεύστε τα αρχικά πακέτα και τα αρχεία συμβάντων πριν από οποιαδήποτε επαναφορά, γιατί μια επαναφορά καταστρέφει ακριβώς το υλικό που επρόκειτο να συλλέξετε και σβήνει το χρονισμό που έδειχνε πού κόλλησε η ανταλλαγή.

Ο μύθος είναι ότι ένα διπλότυπο αποδεικνύει ότι φταίει ο πάροχος. Η πραγματικότητα είναι ότι ένα διπλότυπο αποδεικνύει ότι έληξε ένα χρονόμετρο, και η απάντηση ζει στη διαδρομή απάντησης.