Distingi IKEv2-fragmentadon disde problemo pri atestila ĉeno

La tunelo funkciis en la oficeja reto kaj haltas hejme, kaj la protokolo montras la unuan interŝanĝon finiĝanta antaŭ ol io ajn alia okazas. Tiu ŝablono indikas la aŭtentigan interŝanĝon, ne la legitimilojn: atestila ĉeno igas tiun mesaĝon multe pli granda ol la antaŭa, kaj vojo, kiu ne ŝatas grandajn datagramojn, silenteme forĵetos ĝin. Du malsamaj fragmentadaj mekanismoj estas implikitaj, kaj scii, kiun vi rigardas, decidas la riparon.

Du fragmentadaj mekanismoj, unu simptomo

IKEv2 havas sian propran fragmentadan kromprogramon, difinitan en RFC 7383, kiu dividas protektitajn IKE-mesaĝojn en pli malgrandajn IKE-mesaĝojn. La partneroj interkonsentas tiun kapablon, kaj mesaĝo estas rekunmetita de la IKE-realigo anstataŭ de la IP-tavolo.

Ordinara IP-fragmentado estas malsama mekanismo kun malsama fiaskmaniero. Enkursigilo inter la partneroj fragmentigas grandan datagramon, aŭ forĵetas ĝin kaj resendas ICMP-mesaĝon, kiu eble neniam atingas la sendinton. Iuj retoj silenteme forĵetas fragmentojn, kaj iuj mezkestoj traktas la unuan fragmenton sed ne la ceterajn. El la vidpunkto de la aplikaĵo ĉiuj tri kazoj aspektas identaj.

NAT-travado aldonas trian variablon, ĉar tiam ESP estas volvita en UDP kaj la ekstera paketo pligrandiĝas dum ĝi aspektas kiel ordinara UDP-trafiko sur pordo 4500. Vojo, kiu bone trapasas UDP, ankoraŭ povas fiaski ĉe datagramo, kiu ne plu taŭgas.

Legu la interŝanĝon, kiu fiaskis

Serĉu la transiron, ne la eraron. Protokolo, kiu montras la komencan interŝanĝon sendita kaj respondita, sekvata de nenio, diras al vi, ke la sekva mesaĝo neniam kompletiĝis. Provizore altigu la protokolan nivelon kaj komparu la raportitajn grandojn ĉe ambaŭ partneroj.

Kion vi volas konstati, estas ĉu la respondanto entute vidis la peton. Se la iniciatinto sendis ion kaj la respondanto havas neniun registron pri ĝi, la problemo estas la liverado. Se la respondanto analizis peton kaj malakceptis ĝin, la atestilo mem estas la problemo, kaj fragmentado estas distro. Tiu distingo valoras pli ol paĝo da tempolimaj mesaĝoj.

Ŝanĝu la vojon, ne la atestilon

Testu la saman klienton, la saman atestilon kaj la saman agordon el alia reto. Poŝa hotspot estas kutime la plej malmultekosta dua vojo, kaj ĝi estas vere malsama ol la oficeja ligo, ne nur nominale.

Se la manpremo kompletiĝas sur la dua vojo, la atestila ĉeno estas en ordo kaj la unua vojo estas la variablo. Se ĝi fiaskas idente sur ambaŭ, ĉesu testi retojn kaj rigardu la mesaĝojn mem. Tiu unu komparo forigas ĉirkaŭ duonon de la eblaj klarigoj.

Mezuru la interŝanĝon antaŭ ol redakti ion

Akiru la grandon de la ĉeno kaj la grandon de la vojo. Ambaŭ nombroj limigas, kion la manpremo povas sendi, kaj ambaŭ estas malmultekoste mezureblaj:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

La unuaj du donas la nombron de atestiloj kaj la dosiergrandon, kio estas racia indikilo pri kiom granda estos la aŭtentiga mesaĝo. La ping-sondo raportas, ĉu datagramo de tiu grando postvivas la vojon, kaj la interfacaj nombriloj montras, ĉu fragmentoj estis forĵetitaj ĉe via flanko. En Windows, la ekvivalenta sondo estas ping kun la flago do-not-fragment kaj eksplicita utilŝarĝa grando.

Ripetu la sondon malsupren ĝis ĝi sukcesos. La plej granda grando, kiu trapasas, estas la laborebla buĝeto por tiu vojo, kaj ĝi estas pli utila ol iu ajn publikigita defaŭlto.

Riparu la tavolon, kiu estas fakte rompita

Se la vojo forĵetas grandajn datagramojn, ŝaltu IKE-fragmentadon ĉe ambaŭ partneroj kaj konfirmu, ke la kromprogramo estis interkonsentita, ne nur proponita. Se la vojo traktas fragmentojn malbone je la IP-nivelo, la riparo apartenas tien aŭ al la MTU de la ekstera interfaco, ne al la atestila konservejo.

Se la ĉeno estas senbezone longa, pritranĉu ĝin al la mezaj atestiloj, kiujn partnero fakte bezonas. Forigi radikon, kiun la kliento jam fidas, estas racia prizorgado; forigi mezan ne estas, kaj malŝalti kontroladon por malpliigi mesaĝon interŝanĝas liveradan problemon kontraŭ sekurecan.

Notu, kiun mekanismon vi ŝanĝis kaj kiel la manpremo aspektis poste. La sekva okazo kutime estas en alia reto kun la sama simptomo, kaj la noto estas tio, kio turnas du horojn en dek minutojn.