IPsec-ida SA staras, sed ĝiaj pako-nombradoj restas nulaj

Vi starigis la tunelon, la reŝlosila tempigilo malkreskas, kaj ambaŭ direktoj ankoraŭ montras nul pakojn. Tiu paro da nombroj diras nenion pri tio, ke la kunulo rifuzis vian tunelon: instalita CHILD SA kun neaktivaj nombradoj estas la normala stato de asocio, kun kiu ankoraŭ nenio kongruis. La tasko estas pruvi, ke pako devintus kongrui, kaj poste trovi la punkton, kie ĝi forlasis la vojon priskribitan de la selektiloj. Faru tion unufoje, laŭorde, kaj tenu la peton identa inter la ruloj.

Kion nula nombrado efektive pruvas

CHILD SA estas paro da selektiloj plus la ŝlosiloj kaj SPI, kiuj ĉifras trafikon falantan en tiujn intervalojn. Instali ĝin signifas nur, ke ambaŭ flankoj interkonsentis pri tiuj intervaloj kaj la derivitaj ŝlosiloj; la kerno tenos ĝin dum horoj sen ke eĉ unu pako alvenu. La demando do neniam estas, ĉu la tunelo ekzistas, sed ĉu iu pako de via testo falis en la intervalojn interkonsentitajn de la du flankoj. Se ne, la nombradoj restas nulaj kaj la asocio eksvalidiĝas neuzita ĉe la fino de sia vivo.

Tiu distingo ŝanĝas, kion vi kontrolas unue. Rifuzita propono, malsukcesa aŭtentigo aŭ mortanta IKE SA ĉiuj aperas en la protokolo aŭ en la SA-listo, ne kiel silenta nulo. Tunelo, kiu interkonsentas pure kaj poste restas senaga, montras anstataŭe al kongruigo, enkursigo aŭ la origino de la testtrafiko.

Sendu fluon, kiun vi povas priskribi antaŭ ol sendi ĝin

Elektu celon ene de la protektita subreto kaj malfermu novan konekton al ĝi; paĝo, kiun vi ŝargis antaŭ horo, povas esti servata el la kaŝmemoro, kaj kaŝita respondo neniam tuŝas la tunelon. Poste notu kvar valorojn dum la peto ankoraŭ estas hipoteza: la fontadreso, kiun la aplikaĵo ligos, la celo, la adresfamilio, kaj la nomo aŭ selektila paro de la ido, kiun vi observas. Tiu rikordo estas tio, kio transformas ebenan nombradon en testeblan aserton.

La fontadreso estas la valoro, kiun homoj preterlasas, kaj ĝi estas la plej ofta kaŭzo de malsukcesa testo. Tekkomputilo kun drata adreso, Wi-Fi-adreso kaj tunela adreso povas ligi iun ajn el ili laŭ la itinera serĉo, kaj nur unu povas esti ene de la interkonsentita intervalo. Uzu ilon, kiu lasas vin fiksi la fonton, ekzemple ping -I 10.1.0.5 10.2.0.9 aŭ curl --interface 10.1.0.5, por ke la pako ne povu silente elekti alian adreson. Kiam la fiksita rulo movas la nombradojn kaj la nefiksita ne, vi trovis enkursigan problemon, ne IPsec-problemon.

Kiujn nombrojn legi, kaj kie ili loĝas

En Linux la ip -s xfrm state printas ĉiun asocion kun linio lifetime current:, kies bajta kaj paka sumoj apartenas nur al tiu SA, sekvata de linio stats: por ripetaĵaj kaj eraraj nombradoj. Ĉe strongSwan-kunulo la swanctl --list-sas montras unu linion in kaj unu linion out por ĉiu instalita ido, ĉiu finiĝas per bajta kaj paka nombro; la pli malnovaj stroke-iloj nomas la saman paron bytes_i kaj bytes_o. Legu la du direktojn aparte, ĉar la direkto, kiu restis ebena, estas la trovitaĵo. Adicii ilin kune kaŝas ĝuste la malsimetrion, kiun vi serĉas.

Ambaŭ vidoj estas por unu asocio, do reŝlosado instalas freŝan SPI-paron kaj via bazlinio revenas al nulo sen ke io rompiĝis. Notu la SPI, kiun vi observas, antaŭ ol la reŝlosila tempigilo ekfunkcias, alie vi komparos novan SA kun malnova nombro. Se eliranta kreskas dum eniranta restas ebena, la selektilo kongruis kaj la respondo neniam revenis, kio movas la esploradon al la plusendado de la kunulo kaj al ĝia propra politiko. La konfigura dokumentaro pri IKEv2 de strongSwan kovras la vivciklon de la ida SA kaj la reŝlosilan tempon malantaŭ tiuj nombroj.

La observpunkto estas aparta variablo de la origino de la pako. Aparatara malŝarĝo povas pliigi la nombradojn de la asocio dum programara kapto sur la interfaco montras nenion, ĉar malŝarĝitaj pakoj preterpasas la hokon, sur kiu sidas la kapto, kaj la enira direkto povas malkongrui same. Kiam la du malkongruas, uzu la nombradojn por respondi, ĉu io kongruis, kaj la kapton por respondi, kiel la pako aspektis.

Itinero, selektiloj kaj kie la pako naskiĝis

Komparu tri aferojn flanke unu de la alia: la itineron, kiun la kerno elektas por via celo, la politikon, kiu direktas trafikon en la tunelon, kaj la selektilan paron, kiun la ido interkonsentis. ip route get 10.2.0.9 from 10.1.0.5 nomas la interfacon kaj fonton, kiujn la kerno uzus, kaj tio ofte ne estas la paro, kiun vi supozis. ip xfrm policy montras la loke instalitajn ŝablonojn kaj selektilojn, dum swanctl --list-sas montras, pri kio interkonsentis la kunulo. Serĉo, kiu sendas la pakon el la fizika interfaco, tute ne atingas la politikon, do la nombradoj ne povas moviĝi.

Malkongruoj venas en pluraj formoj, kiuj de nombrado aspektas identaj. IPv6-celo ekster IPv4-selektilo, fontadreso el la malĝusta subreto, kaj politiko pli mallarĝa ol la ido ĉiuj produktas la saman nulon. Riparu unue la plej mallarĝan kaŭzon, ĉar plilarĝigi selektilon nur por movi nombron ŝanĝas, kion la tunelo protektas.

Poste estas la origino de la pako, la kaptilo, kiun pordego starigas por sia propra operatoro. Trafiko, kiun la pordego mem generas, estas kongruigata kontraŭ la elira politiko, dum pako, kiun ĝi plusendas por kliento, estas kongruigata kontraŭ la plusenda politiko, do ping de la maŝino povas sukcesi sur vojo, kiun neniu kliento iam prenas.

Unu malfarebla ŝanĝo kaj raporto, kiu transvivas revizion

Ŝanĝu unu solan elementon, ripetu la identan peton kaj legu la samajn nombradojn. Viŝi ĉiun fajroŝirman regulon aŭ anstataŭigi ĉiujn selektilojn samtempe movos nombron kaj detruos la pruvon, kiu diris al vi kial. Se la dua rulo ankoraŭ montras nulon, vi eliminis unu hipotezon anstataŭ malŝpari la posttagmezon.

Skribu la trovitaĵon en formo, kiun alia persono povas reprodukti: nomo de la ido, akceptitaj intervaloj, la fonto, kiun vi fiksis, la celo, kiun vi testis, la direkto, kiu restis nula, kaj la SPI, kiun vi legis. Tiu frazo apartigas asocion, kiun neniu uzis, disde fora aplikaĵo, kiu ricevis la trafikon kaj rifuzis ĝin. Malfaru la ŝanĝon, kiam ĝi ne movis la nombradojn, kaj konservu la rikordon; la sekva persono komencas tie, kie vi haltis. Nenio en la tunelo devis esti rekonstruita por ĉio ĉi, kaj tio estas la senco kontroli kongruon antaŭ ol tuŝi la agordon.