IPsec-en SA alaba martxan dago, baina pakete-kontagailuak zerotan geratzen dira

Tunela altxatu duzu, gakoen berritze-kontagailua atzera doa, eta bi noranzkoek zero pakete erakusten jarraitzen dute. Bi zenbaki horiek ez dute esaten beste muturrak zure tunela baztertu duenik: kontagailu geldiekin instalatutako CHILD SA bat ohiko egoera da oraindik ezer ez datorren elkartze batean. Lana da frogatzea pakete bat etorri behar zela, eta gero aurkitzea hautatzaileek deskribatzen duten bidetik atera zen puntua. Egin behin, ordenan, eta eutsi eskaerari berdin exekuzioen artean.

Zer frogatzen du benetan zero kontagailu batek

CHILD SA bat hautatzaile-pare bat da eta barruti horietan sartzen den trafikoa zifratzen duten gakoak eta SPIak. Instalatzeak esan nahi du soilik bi aldeek barruti horiek eta eratorritako gakoak adostu dituztela; nukleoak orduak eutsiko dio pakete bakarra ere heldu gabe. Beraz, galdera ez da inoiz tunela badagoen, baizik eta zure probak bidalitako paketeren bat bi aldeek negoziatutako barrutietan sartu den. Ez bada, kontagailuak zerotan geratzen dira eta elkartzea erabili gabe iraungitzen da bere bizitzaren amaieran.

Bereizketak aldatzen du zer aztertzen duzun lehenengo. Baztertutako proposamen bat, autentifikazio-hutsegite bat edo hiltzen ari den IKE SA bat egunkarian edo SA zerrendan agertzen dira, ez zero isil gisa. Garbi negoziatzen duen eta gero geldi geratzen den tunel batek bat etortzera, bideratzera edo proba-trafikoaren jatorrira seinalatzen du.

Bidali deskriba dezakezun fluxu bat, bidali aurretik

Aukeratu babestutako azpisarearen barruko helmuga bat eta ireki konexio berri bat hara; duela ordubete kargatutako orri bat cachetik zerbitzatzen ahal da, eta cachean gordetako erantzunak ez du inoiz tunela ukitzen. Gero idatzi lau balio, eskaera oraindik hipotetikoa den bitartean: aplikazioak lotuko duen jatorrizko helbidea, helmuga, helbide-familia eta zaintzen ari zaren umearen izena edo hautatzaile-parea. Erregistro horrek bihurtzen du kontagailu laua baieztapen froga daitekeena.

Jatorrizko helbidea jendeak saltatzen duen balioa da, eta proba sarrien hondatzen duena huraxe da. Kable bidezko helbidea, Wi-Fi helbidea eta tunel-helbidea dituen eramangarri batek edozein lotu dezake ibilbidearen bilaketaren arabera, eta bakarra egon daiteke negoziatutako barrutian. Erabili jatorria ainguratzeko aukera ematen duen tresna bat, hala nola ping -I 10.1.0.5 10.2.0.9 edo curl --interface 10.1.0.5, paketeak isilka beste helbide bat aukeratu ez dezan. Ainguratutako exekuzioak kontagailuak mugitzen dituenean eta ainguratu gabeak ez, bideratze-arazo bat aurkitu duzu, ez IPsec arazo bat.

Zer zenbaki irakurri eta non bizi diren

Linuxen ip -s xfrm state tresnak elkarte bakoitza lifetime current: lerro batekin inprimatzen du, zeinaren byte eta pakete guztiak SA horri bakarrik dagozkion, eta ondoren stats: lerro bat errepikapen eta errore kontagailuetarako. strongSwan pare batean swanctl --list-sas tresnak in lerro bat eta out lerro bat erakusten ditu instalatutako ume bakoitzeko, bakoitza byte eta pakete zenbaketa batekin amaitzen da; stroke tresna zaharrek pare bera deitzen dute bytes_i eta bytes_o. Irakurri bi noranzkoak bereizita, laua geratu den noranzkoa baita aurkikuntza. Biekin batuta ezkutatzen da bat etortzen ari zaren asimetria.

Bi ikuspegiak elkarte bakoitzekoak dira, beraz berritze batek SPI pare berria instalatzen du eta zure oinarrizko lerroa zerora itzultzen da ezer hautsi gabe. Idatzi zaintzen ari zaren SPI berritze-kontagailua abiarazi aurretik, bestela SA berria zenbaki zahar batekin alderatuko duzu. Irteera igotzen bada eta sarrera laua geratzen bada, hautatzaileak bat egin zuen eta erantzunak ez zuen inoiz itzuli, eta horrek ikerketa beste muturraren birbidalketara eta bere politikara eramaten du. strongSwansen IKEv2 konfigurazio dokumentazioak SA alabaren bizi-zikloa eta zenbaki horien atzean dagoen berritze unea estaltzen ditu.

Behaketa-puntua paketearen jatorritik bereizitako aldagai bat da. Hardwareko deskarga batek elkartearen kontagailuak handitu ditzake interfazean software-kapturak ezer erakusten ez duen bitartean, deskargatutako paketeek kapturak duen kakoa saltatzen dutelako, eta sarrerak modu berean desbidera dezake. Biak bat ez datozenean, erabili kontagailuak zerbait bat etorri den erantzuteko eta kaptura paketea nolakoa zen erantzuteko.

Ibilbidea, hautatzaileak eta paketea non jaio zen

Konparatu hiru gauza alboan: nukleoak zure helmugarako aukeratzen duen ibilbidea, trafikoa tunelera bideratzen duen politika eta umeak negoziatu duen hautatzaile-parea. ip route get 10.2.0.9 from 10.1.0.5 tresnak nukleoak erabiliko lukeen interfazea eta jatorria izendatzen ditu, eta hori ez da sarritan suposatu duzun parea. ip xfrm policy tresnak tokian instalatutako txantiloiak eta hautatzaileak erakusten ditu, eta swanctl --list-sas tresnak beste muturrak zer adostu zuen erakusten du. Paketea interfaze fisikotik ateratzen duen bilaketa ez da politikara iristen, beraz kontagailuak ezin dira mugitu.

Desadostasunak hainbat eratan datoz, kontagailu batetik berdinak diruditenak. IPv4 hautatzaile baten kanpoko IPv6 helmuga bat, azpisare okerreko jatorrizko helbide bat eta umetik estuagoa den politika batek zero bera sortzen dute. Konpondu lehenengo kausarik estuena, hautatzailea zabaltzeak zenbaki bat mugitzeko bakarrik aldatzen baitu tunelak babesten duena.

Gero paketearen jatorria dago, atebide batek bere operadoreari jartzen dion tranpa. Atebideak berak sortzen duen trafikoa irteera-politikarekin parekatzen da, eta bezero baten alde birbidaltzen duen paketea birbidalketa-politikarekin parekatzen da, beraz kaxatik egindako ping batek bezeroek inoiz hartzen ez duten bide batean arrakasta dezake.

Itzulgarria den aldaketa bat eta berrikuspenean irauten duen txostena

Aldatu elementu bakarra, errepikatu eskaera bera eta irakurri kontagailu berak. Suhiltzailearen arau guztiak garbitzeak edo hautatzaile guztiak aldi berean ordezkatzeak zenbaki bat mugituko du eta zergatia esan zizun froga suntsituko du. Bigarren exekuzioak zero erakusten badu, hipotesi bat baztertu duzu arratsaldea alferrik galdu beharrean.

Idatzi aurkikuntza beste norbaitek errepikatu ahal izango duen moduan: umearen izena, onartutako barrutiak, ainguratu duzun jatorria, probatu duzun helmuga, zerotan geratu den noranzkoa eta irakurtzen ari zinen SPI. Esaldi horrek banatzen du inork erabili ez duen elkarte bat trafikoa jaso eta uko egin zion urrutiko aplikazio batetik. Itzuli aldaketa kontagailuak mugitu ez dituenean eta gorde erregistroa; hurrengo pertsonak zu gelditu zinen tokian hasten da. Tunelean ez zen ezer berreraiki behar horretarako, eta hori da konfigurazioa ukitu aurretik bat etortzea egiaztatzearen zentzua.