Respondoj DPD pruvas, ke la IKE-kunulo vivas, ne ke viaj datumoj fluas
Vivantecaj respondoj, padiga sciigo kaj mallarĝigitaj selektiloj priskribas tri malsamajn aferojn. Legu ilin aparte antaŭ ol kulpigi unu pro halto.
IPsec-protokoloj povas montri vivantecajn respondojn dum la aplikaĵo antaŭ ili haltas, kaj ambaŭ faktoj povas esti veraj samtempe. DPD-respondo konstatas, ke la IKE-traktado de la kunulo respondis en tiu momento; ĝi diras nenion pri tio, ĉu la infana SA portas la paketon, kiu gravas al vi. Trakti ĉiun averton proksime al elfalto kiel ĝian kaŭzon estas la maniero, kiel selektila problemo estas diagnozata kiel protokola cimo. Tri observoj estas plej ofte konfuzataj, kaj ili respondas al tri malsamaj demandoj. Legu ilin laŭ ligiteco kaj celo antaŭ ol legi ilin laŭ tempindiko.
Kion pruvas ĉiu observo
La tabelo apartigas tion, kion ĉiu observo konstatas, de tio, kion ĝi nur akompanas.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Neniu el la tri estas eraro per si mem. Ĉiu iĝas interesa nur apud la fluo, kiun vi sencimigas, kaj vico, kiun oni ne povas ligi al specifa fluo, estas kunteksto, ne pruvo.
Vivanteco ne estas datum-sano
DPD funkcias kiel INFORMATIONAL-interŝanĝo, regplatforma interparolo inter IKE-demonoj. Respondo pruvas, ke la IKE-procezo de la kunulo estas atingebla kaj pretas respondi, kaj tempolimo pruvas, ke ĝi ne estas. Neniu rezulto testas la infanan SA, la selektilojn, la plusendan vojon aŭ la respondon de la aplikaĵo, do sana DPD apud haltinta transigo estas kohera bildo, ne kontraŭdiro.
Tial la vivantecaj linioj estas la malplej utila parto de datenplata bileto, kiom ajn kvietigaj ili aspektas ĉe la supro de la protokolo.
La padiga sciigo estas aserto pri padigado
TFC-padigado estas la plej superlegata linio en tiuj protokoloj. Ĝi diras, ke padigado por trafikflua konfidenceco ne estos akceptita por tiu infana SA, kio estas aserto pri laŭvola padiga funkcio, ne malakcepto de ESP-protektado. Trovi ĝin proksime al fiasko kutime estas hazardaĵo de parolemo, kaj ŝalti aŭ malŝalti padigadon ŝanĝas nenion pri selektila kovrado.
La specifo de IKEv2 difinas kaj la sciigon kaj la selektilan intertraktadon, kaj la averta etikedo de iu efektivigo anstataŭigas la protokolan signifon en neniu el la du kazoj.
Mallarĝigo estas pli silenta kaj pli verŝajne grava
Respondanto povas akcepti subaron de la proponitaj selektiloj, kaj la akceptita aro povas esti printita trans pluraj eroj, unu porthava kaj alia kovranta ĉiujn pordojn. Legi nur la unuan porthavan linion subtaksas tion, kio estis akceptita; legi nur la larĝan linion supertaksas ĝin. Komparu la printitan proponon kun la instalita politiko, ĉar la propono estas tio, kion la kunuloj diris, kaj la politiko estas tio, kion la kerno kongruos. Kiam ili malkongruas, la tunelo ekzistas kaj la trafiko ne, kio estas la klasika intermita plendo. Inversigu la lokan kaj malproksiman perspektivon kiam vi komparas kunulojn, ĉar la loka de ĉiu flanko estas la malproksima de la alia.
Gastospecifaj eroj kun porda limigo meritas duoblan legadon, ĉar ili estas tiuj, kiuj ekskludas ICMP aŭ duan pordon, dum ping al la enirejo daŭre funkcias.
Konstruu unu rikordon por la fiaskanta fluo
Notu fonton, celon, adresan familion, protokolon kaj pordon kiel vidite ĉe la protekta decido, inkluzive de ajna intenca traduko. Tiuj estas la valoroj, kiuj devas kongrui kun selektilo, kaj ili ankaŭ estas la valoroj, kiujn homoj retajpas el memoro kiam la bileto atingas trian paron da manoj.
Poste identigu la infanan SA kaj ĝiajn direktajn nombrilojn: swanctl --list-sas donas la asocian resumon ĉe strongSwan-gastiganto, kaj ip -s xfrm state donas la nombrilojn. Legu ilin post freŝa permesita peto anstataŭ dum la sistemo estas senokupa. Neniu kresko de elira trafiko indikas selektadon aŭ la lokan vojon; elira sen responda enira indikas la kunulon, ĝian plusendadon aŭ ĝiajn respondojn.
Kompletigita aplikaĵa interŝanĝo superas ĉiun el la nombriloj, tial la testado devus finiĝi ĉe la aplikaĵo, ne ĉe la tunela indikilo.
Elektu la korekton poste
Nur post kiam tiu rikordo ekzistas, estas korekto elektebla: akceptitaj selektiloj, vojo, filtrado, efektivigo de la kunulo aŭ limo, kiun vi nun montris. Restarigi la kunulon ŝanĝas plurajn statojn samtempe kaj ofte restarigas trafikon sen klarigi, kiu estis malĝusta, do la elfalto revenas. Tenu kern-statajn elĵetojn ekster la biletoj, ĉar ili povas enhavi ŝlosilojn kaj la mallarĝa resumo sufiĉas por iu ajn, kiu bezonas helpi.
Kiam la rikordo kontraŭdiras vian unuan teorion, kredu la rikordon kaj reverku la teorion; tiu kutimo valoras pli ol iu ajn unuopa protokola linio diskutita ĉi tie.