تشخیص همتا مرده در IKEv2 برنامه شما را آزمایش نمی‌کند

بررسی زنده‌بودن در IKEv2 یک پرسش می‌گذارد: آیا همتای دیگر هنوز روی رابطه کنترل محافظت‌شده پاسخ می‌دهد. این بررسی اندازه نمی‌گیرد که آیا برنامه درونی سالم است، آیا مسیری پشت دروازه وجود دارد، یا آیا مرور سریع به نظر می‌رسد. بررسی می‌تواند قبول شود در حالی که هر چیز مفید پشت تونل شکست می‌خورد.

دو نوع شواهد را جداگانه بخوانید پیش از آنکه تایمری را تغییر دهید.

بررسی زنده‌بودن در واقع چه می‌پرسد

تبادل زنده‌بودن درون انجمن امنیتی برقرارشده IKE فرستاده می‌شود و پاسخی در یک پنجره پیکربندی‌شده انتظار دارد. موفقیت یعنی پیاده‌سازی IKE همتا هنوز آنجاست و هنوز آماده گفت‌وگوست. این درباره انجمن‌های امنیتی فرزندی که ترافیک را حمل می‌کنند چیزی نمی‌گوید، درباره مسیریابی آن‌سوی دروازه چیزی نمی‌گوید و درباره سرویسی که تونل را برایش باز کردید چیزی نمی‌گوید. اینها سه پرسش جدا با سه حالت شکست جدا هستند.

این تمایز تعیین می‌کند وقتی نشست ساکت می‌شود کجا را نگاه کنید. همتایی که پاسخ دادن را ادامه می‌دهد در حالی که مسیر داده خراب است، به سیاست، مسیریابی یا سرویسی در پایین‌دست اشاره می‌کند. همتایی که پاسخ دادن را متوقف می‌کند به دسترس‌پذیری یا به وضعیت خود طرف دور اشاره می‌کند.

انجمن‌های امنیتی را پیش از مرورگر بخوانید

وضعیت کنترل و وضعیت داده به‌محض پرسیدن از دیمن جداگانه فهرست می‌شوند و شمارنده‌ها می‌گویند آیا اصلا چیزی تلاش شده است. انجمن فرزندی که هرگز نصب نشده هیچ شبیه آنی نیست که نصب شد و سپس از عبور بسته‌ها بازماند، هرچند هر دو همان شکایت کاربر را تولید می‌کنند.

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

نام وضعیت‌ها را عینا در تیکت بنویسید، همراه با شمارنده‌ها در لحظه شکایت. توصیفی مثل تونل پایین پنهان می‌کند که کدام یک از دو انجمن پایان یافت، و معمولا همان تنها واقعیتی است که ارزش داشتن را دارد.

شکست مسیر دقیقا شبیه همتای مرده است

دروازه می‌تواند به تبادل‌های کنترل پاسخ دهد در حالی که سروری خصوصی آفلاین است، مسیر ارسال‌شده‌ای غایب است یا تفکیک نام درونی کاملا شکست می‌خورد. از دید کارخواه، هر یک از اینها به شکل نشستی که بالاست و مقصدی که نیست ظاهر می‌شود. مسیر بازگشت را به همان دقت مسیر رفت بررسی کنید، زیرا مسیریابی نامتقارن در طرف دور سکوت را فقط در یک جهت تولید می‌کند.

برنامه موردنظر را مستقیم آزمایش کنید و نشانی‌ای را که امتحان کرده نام ببرید، به جای آزمایش اینکه تونل بالاست. پینگ به دروازه ثابت می‌کند دروازه پاسخ می‌دهد؛ هرگز ثابت نکرد که برنامه پاسخ داده است. نشانی دقیقی را که برنامه امتحان کرده ثبت کنید. این رشته بعدا جست‌وجو را باریک می‌کند و همان تنها واقعیتی است که تیکت معمولا جا می‌گذارد.

تایمرها را از تشخیص بیرون نگه دارید

کوتاه کردن بازه تشخیص تغییر کارایی نیست و ظرفیت اضافه نمی‌کند. در شرایط افت بسته، سرعت تشخیص شکست را تغییر می‌دهد، که می‌تواند نشانه را متفاوت جلوه دهد بدون آنکه چیزی را بهتر کند. نخست زمان واقعی شکست را ثبت کنید، سپس تصمیم بگیرید آیا تحمل برای پیوندی که واقعا دارید نادرست است.

تازه‌سازی‌های نگاشت NAT در همان دسته قرار می‌گیرند. مسیر ترجمه‌شده را قابل استفاده نگه می‌دارند و شاهدی بر کارکرد برنامه دور نیستند.

سیاست بازیابی کامل می‌گوید کارخواه هنگام مرده اعلام شدن همتا چه باید بکند: راه‌اندازی دوباره، بستن یا نگه داشتن، و ترافیک دیگر در این میان چه می‌تواند بکند. بدون آن، همان رخداد هر سه ماه از صفر دوباره تشخیص داده می‌شود.