IKEv2:n kuolleen vastapuolen tunnistus ei testaa sovellustasi

Elinvoimaisuustarkistus IKEv2:ssa esittää yhden kysymyksen: vastaako toinen vastapuoli vielä suojatulla ohjausyhteydellä. Se ei mittaa, onko sisäinen sovellus terve, onko yhdyskäytävän takana reittiä vai tuntuuko selailu nopealta. Tarkistus voi mennä läpi, vaikka kaikki hyödyllinen tunnelin takana epäonnistuu.

Lue kahdenlaiset todisteet erikseen ennen ajastimen muuttamista.

Mitä elinvoimaisuustarkistus oikeastaan kysyy

Elinvoimaisuusvaihto lähetetään muodostetun IKE-tietoturvayhteyden sisällä ja odottaa vastausta määritetyssä ikkunassa. Onnistuminen tarkoittaa, että vastapuolen IKE-toteutus on yhä paikalla ja yhä valmis puhumaan. Se ei kerro mitään liikennettä kuljettavista alitietoturvayhteyksistä, mitään yhdyskäytävän takaisesta reitityksestä eikä mitään palvelusta, jonka vuoksi avasit tunnelin. Ne ovat kolme erillistä kysymystä ja kolme erillistä vikatilaa.

Tämä ero ratkaisee, mihin katsot, kun istunto hiljenee. Vastapuoli, joka jatkaa vastaamista tietopolun ollessa rikki, viittaa käytäntöön, reititykseen tai alavirran palveluun. Vastapuoli, joka lakkaa vastaamasta, viittaa tavoitettavuuteen tai kauemman pään omaan tilaan.

Lue tietoturvayhteydet ennen selainta

Ohjaustila ja datatila luetellaan erikseen heti, kun kysyt daemonilta, ja laskurit kertovat, yritettiinkö ylipäätään mitään. Alitietoturvayhteys, jota ei koskaan asennettu, ei näytä lainkaan siltä, joka asennettiin ja lakkasi sitten välittämästä paketteja, vaikka molemmat tuottavat saman käyttäjän valituksen.

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

Kirjaa tilojen nimet sanatarkasti tikettiin yhdessä valituksen hetken laskureiden kanssa. Kuvaus kuten tunneli alhaalla kätkee, kumpi kahdesta yhteydestä päättyi, ja yleensä se on ainoa tosiasia, joka kannattaa pitää.

Reittivirhe näyttää täsmälleen kuolleelta vastapuolelta

Yhdyskäytävä voi vastata ohjausvaihtoihin, vaikka yksityinen palvelin on offline, edelleenohjattu reitti puuttuu tai sisäinen nimien selvitys epäonnistuu kokonaan. Asiakkaan näkökulmasta jokainen niistä näyttää istunnolta, joka on ylhäällä, ja kohteelta, joka ei ole. Tarkista paluupolku yhtä huolellisesti kuin meno, koska epäsymmetrinen reititys kauemmalla puolella tuottaa hiljaisuutta vain yhteen suuntaan.

Testaa aiottua sovellusta suoraan ja nimeä osoite, jota se yritti, sen sijaan että testaisit, onko tunneli ylhäällä. Ping yhdyskäytävälle todistaa, että yhdyskäytävä vastaa; se ei ole koskaan todistanut, että sovellus vastasi. Kirjaa tarkka osoite, jota sovellus yritti. Se merkkijono kaventaa hakua myöhemmin, ja se on ainoa tosiasia, jonka tiketti yleensä jättää pois.

Pidä ajastimet poissa diagnoosista

Tunnistusvälin lyhentäminen ei ole suorituskyvyn muutos eikä lisää kapasiteettia. Pakettihäviössä se muuttaa sitä, kuinka nopeasti vika tunnistetaan, mikä voi saada oireen näyttämään erilaiselta parantamatta mitään. Kirjaa ensin vian todellinen aika ja päätä sitten, onko toleranssi väärä sille yhteydelle, joka sinulla todella on.

NAT-kartoituksen päivitykset kuuluvat samaan luokkaan. Ne pitävät käännetyn polun käyttökelpoisena, eivätkä ne ole todiste siitä, että etäsovellus toimii.

Täydellinen palautumiskäytäntö kertoo, mitä asiakkaan pitää tehdä, kun vastapuoli julistetaan kuolleeksi: käynnistää uudelleen, sulkea vai pitää, ja mitä muu liikenne saa tehdä sen aikana. Ilman sitä sama tapaus diagnosoidaan alusta joka neljännes.