DPD vastused tõestavad, et IKE vastaspool on elus, mitte et sinu andmed liiguvad
Elusoleku vastused, polsterdamise teade ja kitsendatud selektorid kirjeldavad kolme erinevat asja. Lugege neid eraldi, enne kui süüdistate ühte neist tõrkes.
IPsec-logid võivad näidata elusoleku vastuseid samal ajal, kui nende ees olev rakendus seisab, ja mõlemad faktid võivad olla korraga tõesed. DPD vastus kinnitab, et vastaspoole IKE-töötlus vastas sel hetkel; see ei ütle midagi selle kohta, kas tütar-SA kannab paketti, mis teile oluline on. Iga katkestuse lähedase hoiatuse selle põhjuseks pidamine on viis, kuidas selektori probleem diagnoositakse protokolliveana. Kõige sagedamini aetakse segi kolm vaatlust ja need vastavad kolmele erinevale küsimusele. Lugege neid seose ja eesmärgi järgi enne, kui loete neid ajatempli järgi.
Mida iga vaatlus tõestab
Tabel eristab seda, mida iga vaatlus kinnitab, sellest, mida see lihtsalt saadab.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Ükski neist kolmest ei ole iseenesest viga. Igaüks muutub huvitavaks alles teie silutava voolu kõrval, ja rida, mida ei saa konkreetse vooluga siduda, on kontekst, mitte tõend.
Elusolek ei ole andmete tervis
DPD töötab INFORMATIONAL-vahetusena, juhtimistasandi vestlusena IKE-deemonite vahel. Vastus tõestab, et vastaspoole IKE-protsess on kättesaadav ja valmis vastama, ning ajalõpp tõestab, et see nii ei ole. Kumbki tulemus ei kontrolli tütar-SA-d, selektoreid, edastusteed ega rakenduse vastust, seega terve DPD peatunud ülekande kõrval on sidus pilt, mitte vastuolu.
Seetõttu on elusoleku read andmetasandi pileti kõige vähem kasulik osa, ükskõik kui rahustavad need logi ülaosas ka ei paista.
Polsterdamise teade on väide polsterdamise kohta
TFC-polsterdamine on nendes logides kõige enam üleloetud rida. See ütleb, et liiklusvoo konfidentsiaalsuse polsterdust selle tütar-SA jaoks ei aktsepteerita, mis on väide valikulise polsterdamisfunktsiooni kohta, mitte ESP-kaitse tagasilükkamine. Selle leidmine tõrke lähedalt on tavaliselt sõnaohkuse juhus, ja polsterdamise sisse- või väljalülitamine ei muuda selektorite katvuses midagi.
IKEv2 spetsifikatsioon määratleb nii teate kui ka selektorite läbirääkimise ning ühegi rakenduse hoiatussilt ei asenda kummalgi juhul protokolli tähendust.
Kitsendamine on vaiksem ja tõenäolisemalt oluline
Vastaja võib aktsepteerida osa pakutud selektoritest ja aktsepteeritud kogum võidakse välja trükkida mitme kirje kaupa, üks pordipõhine ja teine kõiki porte kattev. Ainult esimese pordipõhise rea lugemine alahindab aktsepteeritut; ainult laia rea lugemine hindab selle üle. Võrrelge trükitud ettepanekut paigaldatud poliitikaga, sest ettepanek on see, mida vastaspooled ütlesid, ja poliitika on see, mida tuum sobitab. Kui need lahknevad, on tunnel olemas ja liiklus mitte, mis on klassikaline vahelduv kaebus. Vastaspoolte võrdlemisel pöörake kohalik ja kaugperspektiiv ümber, sest kummagi poole kohalik on teise kaug.
Pordipiiranguga hostipõhiseid kirjeid tasub kaks korda lugeda, sest just need jätavad välja ICMP või teise pordi, samal ajal kui ping lüüsini jääb tööle.
Looge ebaõnnestuva voolu jaoks üks kirje
Kirjutage üles allikas, sihtkoht, aadressiperekond, protokoll ja port nii, nagu need on kaitseotsuse juures näha, sealhulgas igasugune tahtlik tõlge. Need on väärtused, mis peavad selektoriga sobima, ja need on ka väärtused, mille inimesed mälust uuesti sisestavad, kui pilet jõuab kolmanda kätepaari juurde.
Seejärel tuvastage tütar-SA ja selle suunalised loendurid: swanctl --list-sas annab strongSwan-hostis assotsiatsiooni kokkuvõtte ja ip -s xfrm state annab loendurid. Lugege neid värske lubatud päringu järel, mitte süsteemi jõudeoleku ajal. Väljuva liikluse kasvu puudumine osutab valikule või kohalikule teele; väljuv ilma vastava sissetulevata osutab vastaspoolele, selle edastusele või selle vastustele.
Lõpetatud rakendusevahetus kaalub üles kummagi loenduri, mistõttu peaks test lõppema rakenduse juures, mitte tunneli indikaatori juures.
Valige parandus pärast seda
Alles siis, kui see kirje on olemas, on valida parandus: aktsepteeritud selektorid, marsruut, filtreerimine, vastaspoole teostus või piir, mille olete nüüd tõestanud. Vastaspoole lähtestamine muudab mitut olekut korraga ja taastab sageli liikluse selgitamata, milline neist oli vale, seega tõrge naaseb. Hoidke tuuma olekutõmmised piletitest väljas, sest need võivad sisaldada võtmeid ja kitsas kokkuvõte on kõigile abivajajatele piisav.
Kui kirje on vastuolus teie esimese teooriaga, uskuge kirjet ja kirjutage teooria ümber; see harjumus on väärt rohkem kui ükski siin käsitletud üksik logirida.