DPD-vastaukset todistavat, että IKE-vertaiskumppani on elossa, eivät sitä, että tietosi virtaavat
Elinvoimavastaukset, täyttöilmoitus ja kavennetut valitsimet kuvaavat kolmea eri asiaa. Lue ne erikseen ennen kuin syytät yhtä niistä pysähdyksestä.
IPsec-lokit voivat näyttää elinvoimavastauksia, vaikka niiden edessä oleva sovellus jumittuu, ja molemmat tosiasiat voivat olla yhtä aikaa tosia. DPD-vastaus osoittaa, että vertaiskumppanin IKE-käsittely vastasi sillä hetkellä; se ei kerro mitään siitä, kuljettaako lapsi-SA pakettia, josta välität. Jokaisen katkoksen lähellä olevan varoituksen pitäminen sen syynä on se tapa, jolla valitsinongelma diagnosoidaan protokollavirheeksi. Kolme havaintoa sekoitetaan useimmin, ja ne vastaavat kolmeen eri kysymykseen. Lue ne yhteyden ja tarkoituksen mukaan ennen kuin luet ne aikaleiman mukaan.
Mitä kukin havainto todistaa
Taulukko erottaa sen, mitä kukin havainto vahvistaa, siitä, mitä se vain seuraa.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Mikään kolmesta ei ole itsessään virhe. Jokainen muuttuu kiinnostavaksi vasta sen virtauksen vieressä, jota korjaat, ja rivi, jota ei voi sitoa tiettyyn virtaukseen, on kontekstia eikä todistetta.
Elinvoima ei ole tiedon terveyttä
DPD toimii INFORMATIONAL-vaihtona, ohjaustason keskusteluna IKE-daemonien välillä. Vastaus todistaa, että vertaiskumppanin IKE-prosessi on tavoitettavissa ja halukas vastaamaan, ja aikakatkaisu todistaa, ettei ole. Kumpikaan tulos ei testaa lapsi-SA:ta, valitsimia, edelleenlähetyspolkua tai sovelluksen vastausta, joten terve DPD pysähtyneen siirron vieressä on johdonmukainen kuva eikä ristiriita.
Siksi elinvoimarivit ovat data-tason tiketin vähiten hyödyllinen osa, niin rauhoittavilta kuin ne lokin yläosassa näyttävätkin.
Täyttöilmoitus on lausunto täytöstä
TFC-täyttö on näiden lokien eniten ylitulkittu rivi. Se sanoo, että liikennevirran luottamuksellisuuden täyttöä ei hyväksytä kyseiselle lapsi-SA:lle, mikä on lausunto valinnaisesta täyttöominaisuudesta eikä ESP-suojauksen hylkääminen. Sen löytäminen vian läheltä on yleensä sanomisen sattumaa, eikä täytön kytkeminen päälle tai pois muuta mitään valitsimien kattavuudessa.
IKEv2-spesifikaatio määrittelee sekä ilmoituksen että valitsimien neuvottelun, eikä toteutuksen varoitustarra korvaa protokollan merkitystä kummassakaan tapauksessa.
Kaventaminen on hiljaisempaa ja todennäköisemmin merkityksellistä
Vastaaja voi hyväksyä osajoukon tarjotuista valitsimista, ja hyväksytty joukko voidaan tulostaa usealle merkinnälle, yksi porttikohtainen ja toinen kaikki portit kattava. Vain ensimmäisen porttikohtaisen rivin lukeminen aliarvioi hyväksyttyä; vain leveän rivin lukeminen yliarvioi sen. Vertaa tulostettua ehdotusta asennettuun käytäntöön, koska ehdotus on se, mitä vertaiskumppanit sanoivat, ja käytäntö on se, mihin ydin täsmää. Kun ne eroavat, tunneli on olemassa eikä liikennettä ole, mikä on klassinen ajoittainen valitus. Käännä paikallinen ja etäinen näkökulma, kun vertailet vertaiskumppaneita, sillä kummankin osapuolen paikallinen on toisen etäinen.
Porttirajoituksella varustetut isäntäkohtaiset merkinnät kannattaa lukea kahdesti, koska juuri ne sulkevat pois ICMP:n tai toisen portin jättäen pingin yhdyskäytävään toimimaan.
Rakenna yksi tietue epäonnistuvalle virtaukselle
Kirjaa lähde, kohde, osoiteperhe, protokolla ja portti sellaisina kuin ne näkyvät suojauspäätöksessä, mukaan lukien kaikki tarkoituksellinen käännös. Ne ovat arvoja, joiden on täsmättävä valitsimeen, ja ne ovat myös arvoja, jotka ihmiset kirjoittavat uudelleen muistista, kun tiketti päätyy kolmannelle käsiparille.
Tunnista sitten lapsi-SA ja sen suunnalliset laskurit: swanctl --list-sas antaa liitoksen yhteenvedon strongSwan-isännässä ja ip -s xfrm state antaa laskurit. Lue ne tuoreen sallitun pyynnön jälkeen äläkä järjestelmän ollessa joutilaana. Lähtevän liikenteen kasvun puuttuminen viittaa valintaan tai paikalliseen polkuun; lähtevä ilman vastaavaa saapuvaa viittaa vertaiskumppaniin, sen edelleenlähetykseen tai sen vastauksiin.
Valmis sovellusvaihto on arvokkaampi kuin kumpikaan laskuri, minkä vuoksi testin pitäisi päättyä sovellukseen eikä tunnelin ilmaisimeen.
Valitse korjaus sen jälkeen
Vasta kun tietue on olemassa, on korjaus valittavana: hyväksytyt valitsimet, reitti, suodatus, vertaiskumppanin toteutus tai raja, jonka olet nyt osoittanut. Vertaiskumppanin nollaus muuttaa useita tiloja kerralla ja palauttaa usein liikenteen selittämättä, mikä niistä oli väärin, joten katkos palaa. Pidä ytimen tilavedokset poissa tiketeistä, koska ne voivat sisältää avaimia ja kapea yhteenveto riittää jokaiselle, jonka täytyy auttaa.
Kun tietue on ristiriidassa ensimmäisen teoriasi kanssa, usko tietuetta ja kirjoita teoria uudelleen; tuo tapa on arvokkaampi kuin mikään yksittäinen täällä käsitelty lokirivi.