Duobligitaj IKE-paketoj: trovu la mankantan transiron

La protokolo montras la saman IKE-peton dufoje, iu montras al la poŝtelefona suprenligo, kaj la bileto fermiĝas per konjekto. Tiu konjekto estas la mito: ripetita paketo estas observo pri unu interŝanĝo, ne diagnozo de ligo. Retranssendado estas normala konduto kun propraj reguloj, kaj ĝi aperas sur sanaj vojoj ĉiam, kiam respondo malfruas. Sekvu la respondon antaŭ ol kulpigi interfacon.

La mito: ripetita peto pruvas perdon sur unu ligo

Du malsamaj aferoj produktas duoblaĵon, kaj neniu el ili nomas kulpulon. La petanto povas ripeti peton ĉar ĝi ricevis neniun respondon, aŭ la kaptpunkto povas montri la saman paketon dufoje pro tio, kie ĝi estas alligita al la stako. Frapilo, kiu vidas eniron kaj eliron sur la sama gastiganto, volonte registros unu paketon kiel du, kaj la operatoro leganta tiun protokolon havas neniun manieron distingi sen la interŝanĝaj identigiloj. Traktu la duoblaĵon kiel tempigilan okazaĵon ĝis vi povos diri, kiun el la du vi tenas.

Du suprenligoj plimalbonigas la konfuzon anstataŭ plibonigi ĝin. Unu protokola linio nomas unu interfacon, dum la respondo eble eliris tra la alia, do la interfaco en la mesaĝo priskribas, kie paketo estis vidita, kaj ne la formon de la konversacio. Tial la unua demando estas, kiun interŝanĝon vi rigardas, ne kiun ligon misfunkcias.

Kion la retranssendado vere diras al vi

En IKEv2, retranssendado funkcias tiel: la petanto ripetas peton, kiam neniu respondo alvenis, kaj la respondanto povas resendi sian kaŝmemorigitan respondon anstataŭ kalkuli novan. Mesaĝaj identigiloj apartenas al tiu interŝanĝo, kaj ĝuste tio igas ripetitan peton kun la sama identigilo rekonebla kiel la protokolo laboranta, ne kiel nova provo. Komenca provo ofte bezonas pli ol fontan adreson aŭ iniciatintan SPI por korelacii, do la propra interŝanĝa registro de la platformo superas pakan liston. IKEv1 sekvas malsamajn regulojn kun malsamaj identigiloj, kaj averto de vendisto pri duobligita unua paketo ne signifas la samon trans versioj.

Do retranssenda tempomarko diras al vi, ke tempigilo eksvalidiĝis. Ĝi ne diras, kiu salto estis malrapida, kaj certe ne diras, ke la portanto kulpas. Tiuj estas apartaj asertoj, kaj nur la dua utilas en bileto.

La praktika sekvo estas registri la interŝanĝon antaŭ ol fari konkludon. Notu la lokan ricevan adreson, la respondan vojon elektitan de la politiko, la samtavolan opon kaj la interŝanĝajn identigilojn en unu loko, ĉar ĉiu el ili respondas al malsama demando, kiam la registro legiĝos poste.

Kvar observpunktoj kiel unu ĉeno

Pensu pri la interŝanĝo kiel kvar ĉeneroj en ĉeno, ne kiel kvar apartaj lokoj por rigardi. Ĉenero tenas pruvon aŭ restas nekonata, kaj la ĉeno estas nur tiom informa, kiom ĝia plej malforta registrita ĉenero. La suba tabelo estas la inventaro: kion ĉiu pozicio povas konstati kaj kion ĝi lasas netuŝita.

Plenigu la ĉenon nur tie, kie vi havas aliron, kaj marku la ceteron nekonata anstataŭ dedukti ĝin. Hoko, kiu registras paketojn sur unu maŝino, diras nenion pri tio, kion ricevis la malproksima maŝino, kaj protokola linio notanta, ke peto estis vidita, ne estas pruvo, ke respondo iam eliris. Honestaj breĉoj pli utilas ol kompleta aspektanta registro konstruita el konjektoj.

Trovu la unuan mankantan transiron

Iru la ĉenon de la iniciatinto eksteren kaj haltu ĉe la unua ĉenero sen pruvo. Se la enirejo neniam registras la peton, la misfunkcio sidas sur la vojo antaŭ ĝi. Kiam la enirejo registras la saman peton ree kaj ree dum la kliento neniam registras respondon, la revena direkto estas la suspektato: fonta adreso, tradukado kaj filtrado ĉe ĉiu limo, kiun vi kontrolas. Se la respondo alvenas kaj la kliento tamen ne antaŭeniras, la demando forlasis transporton kaj fariĝis politiko aŭ stato.

Tenu la opon kaj la protokolon fiksaj dum vi komparas, kaj memoru, ke prokrasto, perdo, politiko kaj stato ĉiu produktas malsaman templinion. Poŝtelefona reto ne estas aŭtomate la kaŭzo, kaj fiksa linio ne estas aŭtomate sufiĉe fidinda por ĉiu postulo. Kaptu ambaŭ direktojn dum la interŝanĝo vivas:

tcpdump -ni any -vv 'udp port 500 or udp port 4500'

Kiam aliro ĉesas antaŭ la malproksima fino, la registro ankoraŭ helpas, se ĝi diras, kie ĝi ĉesas. Kapto nur ĉe la iniciatinto povas montri peton elirantan kaj neniun respondon alvenantan, kio mallarĝigas la misfunkcion al ĉio post tiu hoko sen ŝajnigi scii, kiu salto faligis ĝin. Marku la malproksimajn ĉenerojn nekonataj kaj lasu la sekvan personon kun aliro plenigi ilin. Tiel skribite, la registro restas honesta kaj ankoraŭ mallonga.

Komparu antaŭ ol ŝanĝi ion ajn. Ripeti la saman peton al la sama opo kun la sama protokolo tenas la variablojn kalkuleblaj, dum restarigo, ŝlosila renovigo aŭ politika redakto inter kaptoj detruas la komparon. Se ŝanĝo estas neevitebla, kaptu denove tuj poste, por ke antaŭ kaj post ankoraŭ priskribu la saman interŝanĝon.

Kion diras utila raporto

Raporto inda je ago parigas unu peton kun ĝia respondo kaj nomas la unuan paŝon, malantaŭ kiu mankas pruvo. Tiu frazo postvivas legadon semajnon poste fare de inĝeniero, kiu ne ĉeestis, kaj ĝi donas al la sekva persono komenclokon anstataŭ suspektaton.

Neniam malfortigu identecajn kontrolojn nek larĝigu la permesitan protokolon nur por kontroli retranssendan teorion. Konservu la originajn paketojn kaj okazaĵregistrojn antaŭ ajna restarigo, ĉar restarigo detruas ĝuste la materialon, kiun vi estis kolektonta, kaj forviŝas la tempigon, kiu montris, kie la interŝanĝo stagnis.

La mito estas, ke unu duoblaĵo pruvas, ke la portanto kulpas. La realo estas, ke unu duoblaĵo pruvas, ke tempigilo eksvalidiĝis, kaj la respondo vivas sur la responda vojo.