IKEv2 surnud partneri tuvastus ei testi sinu rakendust

Elususe kontroll IKEv2-s esitab ühe küsimuse: kas teine partner vastab veel kaitstud juhtimisühendusel. See ei mõõda, kas sisemine rakendus on terve, kas lüüsi taga on marsruut või kas sirvimine tundub kiire. Kontroll võib läbida, samal ajal kui kõik kasulik tunnelis taga ebaõnnestub.

Lugege kahte liiki tõendeid eraldi enne taimeri muutmist.

Mida elususe kontroll tegelikult küsib

Elususe vahetus saadetakse loodud IKE turbeseose sees ja ootab vastust määratud aknas. Edu tähendab, et partneri IKE teostus on endiselt olemas ja endiselt valmis rääkima. See ei ütle midagi liiklust kandvate alamturbeseosete kohta, midagi lüüsist kaugemale jääva marsruutimise kohta ega midagi teenuse kohta, mille jaoks tunnel avati. Need on kolm eraldi küsimust kolme eraldi tõrkerežiimiga.

See erinevus otsustab, kuhu vaadata, kui seanss vaikib. Partner, kes jätkab vastamist, kui andmetee on katki, viitab poliitikale, marsruutimisele või allavoolu teenusele. Partner, kes lõpetab vastamise, viitab kättesaadavusele või kauge otsa enda olekule.

Lugege turbeseoseid enne brauserit

Juhtimisolek ja andmeolek loetletakse eraldi niipea, kui deemonilt küsida, ja loendurid ütlevad, kas midagi üldse prooviti. Alamturbeseos, mida kunagi ei paigaldatud, ei näe sugugi selline välja nagu see, mis paigaldati ja seejärel lõpetas pakettide läbilaskmise, kuigi mõlemad tekitavad sama kasutajakaebuse.

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

Kirjutage olekunimed piletisse täpselt nii, nagu need on, koos loenduritega kaebuse hetkel. Kirjeldus nagu tunnel maas varjab, kumb kahest seosest lõppes, ja tavaliselt on see ainus fakt, mida tasub omada.

Marsruudi tõrge näeb välja täpselt nagu surnud partner

Lüüs võib juhtimisvahetustele vastata, samal ajal kui privaatne server on võrguühenduseta, edastatud marsruut puudub või sisemine nimelahendus ebaõnnestub täielikult. Kliendi poolt paistab igaüks neist seanssina, mis on üleval, ja sihtkohana, mis ei ole. Kontrollige tagasiteed sama hoolikalt kui edasiteed, sest asümmeetriline marsruutimine kaugemal küljel tekitab vaikuse ainult ühes suunas.

Testige kavatsetud rakendust otse ja nimetage aadress, mida see proovis, selle asemel et testida, kas tunnel on üleval. Ping lüüsile tõestab, et lüüs vastab; see ei ole kunagi tõestanud, et rakendus vastas. Registreerige täpne aadress, mida rakendus proovis. See string kitsendab hiljem otsingut ja see on ainus fakt, mille pilet tavaliselt välja jätab.

Hoidke taimerid diagnoosist väljas

Tuvastusintervalli lühendamine ei ole jõudluse muutus ega lisa mahtu. Paketikao korral muudab see, kui kiiresti tõrge ära tuntakse, mis võib sümptomi teistsugusena näidata ilma midagi paremaks tegemata. Registreerige esmalt tõrke tegelik aeg, seejärel otsustage, kas tolerants on teie tegeliku lingi jaoks vale.

NAT-i vastenduse värskendused kuuluvad samasse kategooriasse. Need hoiavad tõlgitud tee kasutatavana ja ei ole tõendiks, et kaugrakendus töötab.

Täielik taastumispoliitika ütleb, mida klient peab tegema, kui partner kuulutatakse surnuks: taaskäivitama, sulgema või ootama, ja mida muu liiklus tohib selle ajal teha. Ilma selleta diagnoositakse sama juhtum iga kvartali järel nullist uuesti.