IKEv2 fragmenteerimise eristamine sertifikaadiahela probleemist

Tunnel töötas kontorivõrgus ja jääb kodus seisma, ning logi näitab, et esimene vahetus lõpeb enne, kui midagi muud juhtub. See muster osutab autentimisvahetusele, mitte mandaatidele: sertifikaadiahel teeb selle sõnumi palju suuremaks kui eelmine, ja tee, mis ei armasta suuri datagramme, jätab selle vaikselt kõrvale. Kaasatud on kaks erinevat fragmenteerimismehhanismi ja teadmine, millist te vaatate, määrab paranduse.

Kaks fragmenteerimismehhanismi, üks sümptom

IKEv2-l on oma fragmenteerimislaiendus, mis on määratletud RFC 7383-s ja jagab kaitstud IKE-sõnumid väiksemateks IKE-sõnumiteks. Osapooled peavad selle võimekuse üle läbirääkimisi ja sõnumi paneb uuesti kokku IKE-teostus, mitte IP-kiht.

Tavaline IP-fragmenteerimine on teistsuguse rikkerežiimiga teine mehhanism. Osapoolte vaheline ruuter fragmenteerib suure datagrammi või jätab selle kõrvale ja saadab tagasi ICMP-sõnumi, mis ei pruugi saatjani kunagi jõuda. Mõned võrgud heidavad fragmente vaikselt kõrvale ja mõned vahepealsed seadmed töötlevad esimest fragmenti, kuid mitte ülejäänuid. Rakenduse vaatenurgast näevad kõik kolm juhtumit ühesugused välja.

NAT-i läbimine lisab kolmanda muutuja, sest siis mähitakse ESP UDP sisse ja väline pakett muutub suuremaks, nähes samal ajal välja nagu tavaline UDP-liiklus pordil 4500. Tee, mis laseb UDP-d hästi läbi, võib siiski ebaõnnestuda datagrammil, mis enam ei mahu.

Lugege vahetust, mis ebaõnnestus

Otsige üleminekut, mitte viga. Logi, mis näitab esimese vahetuse saatmist ja vastamist ning seejärel mitte midagi, ütleb teile, et järgmine sõnum ei lõppenud kunagi. Tõstke logi taset ajutiselt ja võrrelge teatatud suurusi mõlemal osapoolel.

Soovite kindlaks teha, kas vastaja nägi taotlust üldse. Kui algataja saatis midagi ja vastajal pole sellest mingit kannet, on probleem kohaletoimetamises. Kui vastaja jäs taotlust ja lükkas selle tagasi, on probleem sertifikaadis endas, ja fragmenteerimine on tähelepanu kõrvalejuhtimine. See eristus on väärt rohkem kui lehekülg aegumisteateid.

Muutke teed, mitte sertifikaati

Testige sama klienti, sama sertifikaati ja sama konfiguratsiooni teisest võrgust. Mobiilne hotspot on tavaliselt odavaim teine tee ja see erineb kontoriühendusest tõeliselt, mitte ainult nime poolest.

Kui käepigistus teisel teel lõpeb, on sertifikaadiahel korras ja muutuja on esimene tee. Kui see ebaõnnestub mõlemal identselt, lõpetage võrkude testimine ja vaadake sõnumeid endid. See üks võrdlus kõrvaldab umbes poole võimalikest seletustest.

Mõõtke vahetust enne, kui midagi muudate

Hankige ahela suurus ja tee suurus. Mõlemad arvud piiravad seda, mida käepigistus saata võib, ja mõlemat on odav mõõta:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

Kaks esimest annavad sertifikaatide arvu ja faili suuruse, mis on mõistlik näitaja selle kohta, kui suur autentimissõnum tuleb. Ping-proov teatab, kas sellise suurusega datagramm teel püsib, ja liidese loendurid näitavad, kas fragmendid teie otsas kõrvale heideti. Windowsis on samaväärne proov ping lipuga do-not-fragment ja selgesõnalise kasuliku koormuse suurusega.

Korrake proovi allapoole, kuni see õnnestub. Suurim suurus, mis läbi läheb, on selle tee tööeelarve ja see on kasulikum kui ükski avaldatud vaikeväärtus.

Parandage kiht, mis on tegelikult katki

Kui tee jätab suured datagrammid kõrvale, lubage IKE fragmenteerimine mõlemal osapoolel ja kinnitage, et laiendus peeti läbirääkimisi, mitte ainult ei pakutud. Kui tee käsitleb fragmente IP-tasandil halvasti, kuulub parandus sinna või välisliidese MTU-sse, mitte sertifikaatide hoidlasse.

Kui ahel on tarbetult pikk, lühendage see vahesertifikaatideni, mida osapool tegelikult vajab. Juure eemaldamine, mida klient juba usaldab, on mõistlik hooldus; vahesertifikaadi eemaldamine ei ole, ja kontrollimise keelamine sõnumi vähendamiseks vahetab kohaletoimetamise probleemi turvaprobleemi vastu.

Kirjutage üles, millist mehhanismi muutsite ja kuidas käepigistus pärast seda välja nägi. Järgmine juhtum on tavaliselt teises võrgus sama sümptomiga ja märge on see, mis muudab kaks tundi kümneks minutiks.