IPsec-i alam-SA on üleval, kuid paketilugejad jäävad nulli

Tõmbasite tunneli üles, võtmeuuenduse taimer loeb alla ja mõlemas suunas seisab endiselt null paketti. See arvupaar ei ütle, et partner lükkas teie tunneli tagasi: paigaldatud CHILD SA jõudeolevate lugejatega on assotsiatsiooni tavaline seisund, millega pole veel miski haakunud. Ülesanne on tõestada, et pakett oleks pidanud haakuma, ja seejärel leida koht, kus see lahkus selektorite kirjeldatud teelt. Tehke seda üks kord, järjekorras, ja hoidke päring jooksude vahel samana.

Mida null-lugeja tegelikult tõestab

CHILD SA on selektorite paar pluss võtmed ja SPI-d, mis krüpteerivad neisse vahemikesse jäävat liiklust. Selle paigaldamine tähendab vaid, et mõlemad pooled leppisid kokku nendes vahemikes ja tuletatud võtmetes; tuum hoiab seda tunde, ilma et saabuks ainuski pakett. Küsimus pole seega kunagi selles, kas tunnel on olemas, vaid kas mõni teie testi pakett langes kahe poole kokkulepitud vahemikesse. Kui ei langenud, jäävad lugejad nulli ja assotsiatsioon aegub kasutult oma eluea lõpus.

See erinevus muudab seda, mida kõigepealt kontrollite. Tagasilükatud pakkumine, autentimise tõrge või surev IKE SA tulevad välja logis või SA loendis, mitte vaikse nullina. Tunnel, mis läbiräägib puhtalt ja jääb siis jõude, osutab hoopis haakumisele, marsruutimisele või testliikluse päritolule.

Saatke voog, mida oskate enne saatmist kirjeldada

Valige sihtkoht kaitstud alamvõrgus ja avage sinna uus ühendus; tund aega tagasi laaditud leht võidakse serveerida vahemälust ja vahemällu salvestatud vastus ei puuduta kunagi tunnelit. Seejärel kirjutage üles neli väärtust, kuni päring on veel hüpoteetiline: lähteaadress, mille rakendus seob, sihtkoht, aadressiperekond ning jälgitava alama SA nimi või selektorite paar. Just see kirje muudab lameda lugeja kontrollitavaks väiteks.

Lähteaadress on väärtus, mille inimesed vahele jätavad, ja just see rikub testi kõige sagedamini. Sülearvuti, millel on juhtmega aadress, Wi-Fi aadress ja tunneli aadress, võib marsruudiotsingu järgi siduda ükskõik millise neist, ja ainult üks võib olla kokkulepitud vahemikus. Kasutage tööriista, mis lubab lähte kinnitada, näiteks ping -I 10.1.0.5 10.2.0.9 või curl --interface 10.1.0.5, et pakett ei saaks vaikselt teist aadressi valida. Kui kinnitatud jooks liigutab lugejaid ja kinnitamata jooks mitte, olete leidnud marsruutimisprobleemi, mitte IPsec-probleemi.

Milliseid numbreid lugeda ja kus need elavad

Linuxis trükib ip -s xfrm state iga assotsiatsiooni reaga lifetime current:, mille baitide ja pakettide kogusumma kuulub ainult sellele SA-le, millele järgneb rida stats: korduste ja vigade lugejate jaoks. strongSwan-partneril näitab swanctl --list-sas iga paigaldatud alama SA kohta üht rida in ja üht rida out, igaüks lõpeb baitide ja pakettide arvuga; vanemad stroke-tööriistad nimetavad sama paari bytes_i ja bytes_o. Lugege mõlemat suunda eraldi, sest suund, mis jäi lamedaks, on leid. Nende kokkuliitmine varjab täpselt selle asümmeetria, mida otsite.

Mõlemad vaated on assotsiatsiooni kaupa, seega võtmeuuendus paigaldab värske SPI paari ja teie baasjoon naaseb nulli, ilma et miski oleks katki. Kirjutage üles SPI, mida jälgite, enne kui võtmeuuenduse taimer käivitub, muidu võrdlete uut SA-d vana numbriga. Kui väljuv kasvab, samal ajal kui sisenev jääb lamedaks, haakus selektor ja vastus ei tulnud kunagi tagasi, mis viib uurimise partneri edastamise ja tema enda poliitika juurde. strongSwani IKEv2 konfiguratsiooni dokumentatsioon katab alama SA elutsükli ja nende arvude taga oleva võtmeuuenduse aja.

Vaatluspunkt on paketi päritolust eraldi muutuja. Riistvaraline mahalaadimine võib assotsiatsiooni lugejaid suurendada, samal ajal kui liidese tarkvaraline püüdmine ei näita midagi, sest mahalaaditud paketid mööduvad konksust, millel püüdmine istub, ja sissetulev suund võib samamoodi erineda. Kui need kaks ei ühti, vastake lugejatega, kas miski haakus, ja püüdmisega, milline pakett välja nägi.

Marsruut, selektorid ja kus pakett sündis

Võrrelge kolme asja kõrvuti: marsruut, mille tuum teie sihtkoha jaoks valib, poliitika, mis suunab liikluse tunnelisse, ja selektorite paar, mille alama SA läbi rääkis. ip route get 10.2.0.9 from 10.1.0.5 nimetab liidese ja lähte, mida tuum kasutaks, ja see pole sageli paar, mida eeldasite. ip xfrm policy näitab kohapeal paigaldatud malle ja selektoreid, samal ajal kui swanctl --list-sas näitab, millega partner nõustus. Otsing, mis saadab paketi füüsilisest liidesest välja, ei jõua poliitikani üldse, seega ei saa lugejad liikuda.

Sobimatused tulevad mitmes vormis, mis lugeja poolt vaadates näevad ühesugused välja. IPv6 sihtkoht väljaspool IPv4 selektorit, vale alamvõrgu lähteaadress ja alamast kitsam poliitika annavad kõik sama nulli. Parandage kõigepealt kõige kitsam põhjus, sest selektori laiendamine ainult numbri liigutamiseks muudab seda, mida tunnel kaitseb.

Siis on paketi päritolu, lõks, mille lüüs seab oma operaatorile. Liiklus, mille lüüs ise genereerib, haakub väljundpoliitikaga, samal ajal kui pakett, mille ta kliendi eest edasi saadab, haakub edastuspoliitikaga, seega võib masinast tehtud ping õnnestuda teel, mida ükski klient kunagi ei lähe.

Üks tagasipööratav muudatus ja ülevaatusele vastu pidav aruanne

Muutke ühte elementi, korrake identset päringut ja lugege samu lugejaid. Kõigi tulemüürireeglite kustutamine või kõigi selektorite korraga asendamine liigutab numbrit ja hävitab tõendi, mis ütles teile, miks. Kui teine jooks näitab endiselt nulli, olete välistanud ühe hüpoteesi, selle asemel et pärastlõuna raisata.

Kirjutage leid üles kujul, mida teine inimene saab korrata: alama SA nimi, aktsepteeritud vahemikud, kinnitatud lähtekoht, testitud sihtkoht, suund, mis jäi nulli, ja SPI, mida lugesite. See lause eraldab assotsiatsiooni, mida keegi ei kasutanud, kaugest rakendusest, mis liikluse kätte sai ja sellest keeldus. Võtke muudatus tagasi, kui see lugejaid ei liigutanud, ja hoidke kirjet; järgmine inimene alustab sealt, kus teie lõpetasite. Tunneli juures ei pidanud selle kõige jaoks midagi ümber ehitama, ja just selles on mõte kontrollida haakumist enne konfiguratsiooni puutumist.