Η ανίχνευση νεκρού ομοτίμου στο IKEv2 δεν ελέγχει την εφαρμογή σας

Ο έλεγχος ζωτικότητας στο IKEv2 θέτει ένα ερώτημα: απαντά ακόμη το άλλο ομότιμο στην προστατευμένη σχέση ελέγχου. Δεν μετρά αν μια εσωτερική εφαρμογή είναι υγιής, αν υπάρχει διαδρομή πίσω από την πύλη ή αν η περιήγηση φαίνεται γρήγορη. Ο έλεγχος μπορεί να περάσει ενώ κάθε χρήσιμο πράγμα πίσω από το τούνελ αποτυγχάνει.

Διαβάστε τα δύο είδη αποδείξεων χωριστά πριν αλλάξετε ένα χρονόμετρο.

Τι ρωτά πραγματικά ο έλεγχος ζωτικότητας

Μια ανταλλαγή ζωτικότητας στέλνεται μέσα στην εδραιωμένη συσχέτιση ασφαλείας IKE και περιμένει απάντηση μέσα σε ένα ρυθμισμένο παράθυρο. Επιτυχία σημαίνει ότι η υλοποίηση IKE του ομοτίμου είναι ακόμη εκεί και ακόμη πρόθυμη να μιλήσει. Δεν λέει τίποτα για τις θυγατρικές συσχετίσεις ασφαλείας που μεταφέρουν κίνηση, τίποτα για τη δρομολόγηση πέρα από την πύλη και τίποτα για την υπηρεσία για την οποία ανοίξατε το τούνελ. Αυτά είναι τρία ξεχωριστά ερωτήματα με τρεις ξεχωριστούς τρόπους αποτυχίας.

Αυτή η διάκριση καθορίζει πού κοιτάτε όταν μια συνεδρία σωπαίνει. Ένα ομότιμο που συνεχίζει να απαντά ενώ μια διαδρομή δεδομένων είναι σπασμένη δείχνει πολιτική, δρομολόγηση ή υπηρεσία πιο κάτω. Ένα ομότιμο που σταματά να απαντά δείχνει προσβασιμότητα ή την κατάσταση του ίδιου του μακρινού άκρου.

Διαβάστε τις συσχετίσεις ασφαλείας πριν από το πρόγραμμα περιήγησης

Η κατάσταση ελέγχου και η κατάσταση δεδομένων παρατίθενται χωριστά μόλις ρωτήσετε τον δαίμονα, και οι μετρητές λένε αν έγινε καθόλου κάποια προσπάθεια. Μια θυγατρική συσχέτιση που δεν εγκαταστάθηκε ποτέ δεν μοιάζει καθόλου με μία που εγκαταστάθηκε και μετά σταμάτησε να περνά πακέτα, αν και οι δύο παράγουν το ίδιο παράπονο χρήστη.

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

Σημειώστε τα ονόματα καταστάσεων αυτολεξεί στο δελτίο, μαζί με τους μετρητές τη στιγμή του παραπόνου. Μια περιγραφή σαν τούνελ κάτω κρύβει ποια από τις δύο συσχετίσεις έληξε, και συνήθως αυτό είναι το μόνο γεγονός που αξίζει να έχεις.

Μια αποτυχία διαδρομής μοιάζει ακριβώς με νεκρό ομότιμο

Η πύλη μπορεί να απαντά σε ανταλλαγές ελέγχου ενώ ένας ιδιωτικός διακομιστής είναι εκτός σύνδεσης, λείπει μια προωθημένη διαδρομή ή η εσωτερική επίλυση ονομάτων αποτυγχάνει εντελώς. Από την πλευρά του πελάτη, όλα αυτά εμφανίζονται ως συνεδρία που είναι πάνω και προορισμός που δεν είναι. Ελέγξτε τη διαδρομή επιστροφής εξίσου προσεκτικά με τη διαδρομή προς τα εμπρός, γιατί η ασύμμετρη δρομολόγηση στο μακρινό άκρο παράγει σιωπή μόνο προς μία κατεύθυνση.

Δοκιμάστε την προβλεπόμενη εφαρμογή απευθείας και ονομάστε τη διεύθυνση που προσπάθησε, αντί να δοκιμάζετε αν το τούνελ είναι πάνω. Ένα ping στην πύλη αποδεικνύει ότι η πύλη απαντά· ποτέ δεν απέδειξε ότι απάντησε η εφαρμογή. Καταγράψτε την ακριβή διεύθυνση που προσπάθησε η εφαρμογή. Αυτή η συμβολοσειρά περιορίζει την έρευνα αργότερα, και είναι το μόνο γεγονός που συνήθως παραλείπει το δελτίο.

Κρατήστε τα χρονόμετρα έξω από τη διάγνωση

Η συντόμευση ενός διαστήματος ανίχνευσης δεν είναι αλλαγή απόδοσης και δεν προσθέτει χωρητικότητα. Υπό απώλεια πακέτων αλλάζει πόσο γρήγορα αναγνωρίζεται μια αποτυχία, κάτι που μπορεί να κάνει ένα σύμπτωμα να φαίνεται διαφορετικό χωρίς να βελτιώσει τίποτα. Καταγράψτε πρώτα τον πραγματικό χρόνο της αποτυχίας και μετά αποφασίστε αν η ανοχή είναι λάθος για τον σύνδεσμο που έχετε πραγματικά.

Οι ανανεώσεις αντιστοίχισης NAT ανήκουν στην ίδια κατηγορία. Διατηρούν μια μεταφρασμένη διαδρομή χρησιμοποιήσιμη και δεν είναι απόδειξη ότι η απομακρυσμένη εφαρμογή λειτουργεί.

Μια πλήρης πολιτική ανάκτησης λέει τι πρέπει να κάνει ο πελάτης όταν ένα ομότιμο κηρυχθεί νεκρό: επανεκκίνηση, κλείσιμο ή αναμονή, και τι επιτρέπεται να κάνει η άλλη κίνηση όσο συμβαίνει αυτό. Χωρίς αυτήν, το ίδιο περιστατικό διαγιγνώσκεται από την αρχή κάθε τρίμηνο.