IKEv2ren zatikatzea ziurtagiri-katearen arazo batetik bereizten

Tunela bulegoko sarean funtzionatzen zuen eta etxean gelditzen da, eta erregistroak erakusten du lehen trukatzea amaitu egiten dela beste ezer gertatu aurretik. Eredu horrek autentifikazio-trukatzea seinalatzen du, ez kredentzialak: ziurtagiri-kate batek mezu hori aurrekoa baino askoz handiagoa egiten du, eta datagrama handiak gustuko ez dituen bide batek isil-isilik botako du. Bi zatikatze-mekanismo desberdin daude tartean, eta zein ikusten ari zaren jakiteak konponbidea erabakitzen du.

Bi zatikatze-mekanismo, sintoma bat

IKEv2k bere zatikatze-luzapena du, RFC 7383 dokumentuan definitua, IKE mezu babestuak IKE mezu txikiagoetan zatitzen dituena. Pareek gaitasun hori negoziatzen dute, eta mezua IKEren inplementazioak biltzen du berriro, ez IP geruzak.

IP zatikatze arrunta beste mekanismo bat da, huts egiteko modu desberdinarekin. Pareen arteko bideratzaile batek datagrama handi bat zatitzen du, edo bota eta ICMP mezu bat itzultzen du, agian bidaltzailearengana inoiz iritsiko ez dena. Sare batzuek zatiak isilka baztertzen dituzte, eta tarteko gailu batzuek lehen zatia kudeatzen dute, baina ez gainerakoak. Aplikazioaren ikuspegitik hiru kasuak berdinak dirudite.

NAT zeharkatzeak hirugarren aldagai bat gehitzen du, orduan ESP UDP barruan bildu eta kanpoko paketea handiagoa egiten baita, 4500 portuko UDP trafiko arruntaren itxura izan arren. UDP ondo igarotzen duen bide batek huts egin dezake oraindik sartzen ez den datagrama batean.

Irakurri huts egin zuen trukatzea

Bilatu trantsizioa, ez errorea. Lehen trukatzea bidali eta erantzunda erakusten duen erregistro batek, ondoren ezer ez, hurrengo mezua inoiz osatu ez zela esaten dizu. Igo aldi baterako erregistro-maila eta alderatu bi pareetan jakinarazitako tamainak.

Ezarri nahi duzuna da erantzunak eskaera ikusi zuen ala ez. Hasteratzaileak zerbait bidali eta erantzunak horren erregistrorik ez badu, arazoa entrega da. Erantzunak eskaera bat aztertu eta baztertu badu, ziurtagiria bera da arazoa, eta zatikatzea distrazioa da. Bereizketa horrek orrialde bat timeout mezu baino gehiago balio du.

Aldatu bidea, ez ziurtagiria

Probatu bezero bera, ziurtagiri bera eta konfigurazio bera beste sare batetik. Hotspot mugikorra bigarren biderik merkeena izan ohi da, eta bulegoko estekarekiko benetan desberdina da, ez izenez soilik.

Eskukoia bigarren bidean osatzen bada, ziurtagiri-katea ondo dago eta lehen bidea da aldagaia. Bi bideetan berdin huts egiten badu, utzi sareak probatzeari eta begiratu mezuak berak. Konparazio bakar horrek azalpen posibleen erdia inguru kentzen ditu.

Neurtu trukatzea ezer editatu aurretik

Lortu katearen tamaina eta bidearen tamaina. Bi zenbakiek mugatzen dute eskukoia zer bidali dezakeen, eta biak merke neurtzen dira:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

Lehenengo biak ziurtagiri kopurua eta fitxategiaren tamaina ematen dituzte, autentifikazio-mezua zenbat handia izango den adierazle arrazoizkoa dena. Ping probak tamaina horretako datagrama bidean bizirik ateratzen den jakinarazten du, eta interfazearen kontagailuek zatiak zure aldean baztertu diren erakusten dute. Windowsen proba baliokidea ping bat da, do-not-fragment bandera eta karga erabilgarriaren tamaina esplizituarekin.

Errepikatu proba beheraka arrakasta lortu arte. Igarotzen den tamaina handiena bide horretako lan-aurrekontua da, eta argitaratutako edozein balio lehenetsi baino erabilgarriagoa da.

Konpondu benetan hautsi den geruza

Bideak datagrama handiak botatzen baditu, gaitu IKE zatikatzea bi pareetan eta baieztatu luzapena negoziatu egin dela, ez soilik eskaini. Bideak zatiak IP mailan gaizki kudeatzen baditu, konponketa hara edo kanpoko interfazearen MTUra dagokio, ez ziurtagiri biltegira.

Kate luzea beharrezkoa ez bada, moztu pare batek benetan behar dituen tarteko ziurtagirietara. Bezeroak jada fidatzen duen erro bat kentzea mantentze-lan zentzuzkoa da; tarteko bat kentzea ez, eta mezua txikitzeko egiaztatzea desaktibatzeak entrega-arazoa segurtasun-arazo baten truke aldatzen du.

Idatzi zein mekanismo aldatu zenuten eta nola zegoen eskukoia ondoren. Hurrengo agerraldia beste sare batean izaten da sintoma berarekin, eta oharra da bi ordu hamar minutu bihurtzen dituena.