Datu-basearen kontsulta IPsec gainean blokeatzen da: UDP berrordenaketa edo TCP?
Handshake garbiaren ondoren blokeatzen den kontsulta tuneleko bidearen barrualdea seinalatzen du. Hiru baldintzek erabakitzen dute bidea konpondu edo 443 atakako TCPra itzuli.
TCP handshakearen ondoren blokeatzen den kontsulta ez da bideratze arazoa. Bidearen hutsegiteek handshakea hondatzen dute, beraz ezartzen den eta gero isiltzen den saio bat bidearen barrualdera seinalatzen du: ikuskapena, MTUa edo tuneleko UDP paketeak iristeko modua. Zure aurrean dagoen erabakia bide hori konpontzea edo tunela TCPra eramatea da. Hiru baldintzek erabakitzen dute, eta horietako batek ere ez du datu-basearekin zerikusirik.
Sailkatu blokeoa tunela errudun egin aurretik
Lau emaitzak berdinak dirudite erabiltzailearentzat eta erabat desberdinak esan nahi dute ingeniariarentzat.
| What the client sees | What it rules out |
|---|---|
| Connection refused | Nothing is listening on the address and port the client reached |
| Timeout before the handshake | A filter, a missing route, or the wrong address |
| Handshake completes, query hangs | The session exists, so look at inspection, MTU and packet order |
| Stalls that recover on retry | Often reordering, or a state table entry expiring |
Azken bi errenkadek soilik justifikatzen dute tunelean denbora ematea. VPN bidez ukatutako konexioa normalean datu-basea loopbackean soilik entzuten ari delako izaten da, eta hori entzulearen arazoa da, eta handshakearen aurreko denbora-muga iragazki edo bide bat da. Biak ez dira hobetzen enkapsulazioa aldatzearekin.
Idatzi sailkapena tiketeari lehenengo. Pausorik merkeena da eta bilaketa-espazioaren zatirik handiena kentzen du.
UDP eta TCP artean erabakitzen duten hiru baldintza
Enkapsulatutako IPsec trafikoa UDP bidez doa, eta UDPk bideari berrordenatzeko eta botatzeko askatasuna ematen dio inori esan gabe. Berrordenaketak paketeak tuneleko errepikapenaren aurkako leihoaz kanpo botatzen dituenean, isilka baztertzen dira eta barneko TCP saioa itxaroten geratzen da soilik. Hori da arrakasta duen handshake baten eta inoiz itzultzen ez den kontsulta baten atzean dagoen mekanismoa.
Bidea konpontzea edo TCPra itzultzea hiru gauzaren araberakoa da. Lehenik, benetako pakete-galera dago bidean, edo berrordenaketa bakarrik? Bigarrenik, aldatu dezakezu ikuskapena non gertatzen den, edo tunel hau berrordenatzen duen osagaitik kanpo utzi? Hirugarrenik, karga sentikorra al da blokeo-ereduarekiko, adibidez esteka bat partekatzen duten saio multiplexatu askorekin?
Lehen erantzuna galera bada eta bigarrena ez bada,443 atakako TCP da alternatiba pragmatikoa. Bigarren erantzuna bada, konpondu bidea eta mantendu UDP.
Irakurri suebakiaren erregistroa, ez aplikazioaren errorea
Aplikazioak denbora-muga bat jakinarazten du, eta horrek ez dizu ezer esaten kausari buruz. Suebakiaren beraren erregistroa da bazterketa edo blokeoa agertzen den lekua, beraz iragazi datu-basearen eta aplikazioaren helbideen arabera eta bilatu bazterketak zein onarpenak.Mehatxuen prebentzio moduluek paketeak baztertu ditzakete aplikazio mailako errorerik sortu gabe, eta hori da hain zuzen blokeatzen den kontsulta baten forma. Erregistroko isiltasuna ere datua da: erregistratzen ez duen zerbaiti seinalatzen dio, berrordenaketari adibidez.
Egiaztatu klusterra ere. Gaizki konfiguratutako kluster batek saio bat egoera-taulan eduki dezake kide batean, paketeek beste kide baten bidea hartzen duten bitartean, beraz erantzunak egoerarik ez dagoen tokian iristen dira. Blokeo horiek ausazkoak dirudite eta ez dute kargarekin korrelaziorik.
Alderatu bi muturrak ezer aldatu aurretik, eta alderatu iristeko ordena, ez pakete-kopurua:
tcpdump -ni any udp port 4500 -w /tmp/encap.pcap
tcpdump -ni any tcp port 5432 -w /tmp/inner.pcapZenbat kostatzen dizu benetan 443 atakako TCPk
Tunela TCPra eramateak berrordenaketaren sintoma kentzen du, bitarteko kaxak ordenatutako fluxua ikusten duelako orain. TCP TCP gainean ere sortzen du. Kanpoko konexioak barnekoak jada birbidali duena birbidaltzen du, eta galera bakar batek saio multiplexatu guztiak geldiarazi ditzake aldi berean. Bide garbian ikusezina da. Galerak dituen bidean sendagaia sintoma baino okerragoa da.
Trukea onargarria da alternatiba konektibitate eza denean, eta jabea duen salbuespen gisa dokumentatu behar da, normal gisa bereganatu beharrean.
Erregistratu garraioa, ataka, lagin-kontsulta bat eta neurtutako emaitza, datarekin batera. Erregistro hori gabe hurrengo ingeniariak esperimentua errepikatzen du, eta salbuespena isilka arkitektura bihurtzen da.
Eduki erabakia berrikusgarri
Bide-diagnostiko bat gaizki zahartzen da. Bitarteko kaxa ordezten da, moduluaren konfigurazioa aldatzen da, esteka eguneratzen da, eta 443 atakako TCPren arrazoia desagertu egiten da konfigurazioa geratzen den bitartean. Jarri berrikuspen-data salbuespenari eta izenda ezazu UDPra itzultzeko aukera emango lizukeen baldintza.
Probatu bi garraiak kontsulta txiki batekin eta emaitza-multzo handi batekin. Berrordenaketa tamainaren araberako blokeo gisa agertzen da, entzulearen hutsegiteak bi tamainak berdin gelditzen dituen bitartean.