IPsecin ala-SA on ylhäällä, mutta sen pakettilaskurit pysyvät nollassa

Nostit tunnelin, avainten uusinnan ajastin laskee alas ja molemmat suunnat näyttävät edelleen nollaa pakettia. Se lukupari ei kerro, että vastapuoli hylkäsi tunnelisi: asennettu CHILD SA, jonka laskurit ovat joutilaina, on yhteyden normaali tila, kun siihen ei ole vielä osunut mikään. Työ on osoittaa, että paketin olisi pitänyt osua, ja löytää sitten kohta, jossa se poistui valitsimien kuvaamalta reitiltä. Tee se kerran, järjestyksessä, ja pidä pyyntö samana ajojen välillä.

Mitä nollalaskuri oikeastaan todistaa

CHILD SA on valitsinpari ja avaimet ja SPI:t, jotka salaavat näihin alueisiin osuvan liikenteen. Sen asentaminen tarkoittaa vain, että molemmat osapuolet sopivat näistä alueista ja johdetuista avaimista; ydin pitää sitä tunteja ilman, että yhtään pakettia saapuu. Kysymys ei siis koskaan ole siitä, onko tunneli olemassa, vaan siitä, osuiko jokin testisi paketti alueisiin, joista osapuolet sopivat. Jos ei osunut, laskurit pysyvät nollassa ja yhteys vanhenee käyttämättömänä elinkaarensa lopussa.

Tämä ero muuttaa sitä, mitä tarkistat ensin. Hylätty ehdotus, todennuksen epäonnistuminen tai kuoleva IKE SA näkyvät lokissa tai SA-listassa, eivät hiljaisena nollana. Tunneli, joka neuvottelee puhtaasti ja jää sitten joutilaaksi, viittaa sen sijaan täsmäytykseen, reititykseen tai testiliikenteen alkuperään.

Lähetä virta, jonka voit kuvata ennen lähettämistä

Valitse kohde suojatun aliverkon sisältä ja avaa siihen uusi yhteys; tunti sitten lataamasi sivu voidaan tarjoilla välimuistista, eikä välimuistiin tallennettu vastaus kosketa tunnelia koskaan. Kirjoita sitten neljä arvoa muistiin, kun pyyntö on vielä hypoteettinen: lähdeosoite, jonka sovellus sitoo, kohde, osoiteperhe sekä tarkkailemasi lapsen nimi tai valitsinpari. Juuri se merkintä muuttaa lattan laskurin todennettavaksi väitteeksi.

Lähdeosoite on arvo, jonka ihmiset ohittavat, ja juuri se rikkoo testin useimmin. Kannettava, jolla on johdollinen osoite, Wi-Fi-osoite ja tunneliosoite, voi sitoa minkä tahansa niistä reittihakuun perustuen, ja vain yksi voi olla neuvotellun alueen sisällä. Käytä työkalua, joka sallii lähteen kiinnittämisen, kuten ping -I 10.1.0.5 10.2.0.9 tai curl --interface 10.1.0.5, jotta paketti ei voi hiljaa valita toista osoitetta. Kun kiinnitetty ajo liikuttaa laskureita eikä kiinnittämätön, olet löytänyt reititysongelman etkä IPsec-ongelmaa.

Mitkä luvut lukea ja missä ne asuvat

Linuxissa ip -s xfrm state tulostaa jokaisen yhteyden rivillä lifetime current:, jonka tavu- ja pakettisumma kuuluu vain kyseiselle SA:lle, jota seuraa rivi stats: toisto- ja virhelaskureille. strongSwan-vastapuolella swanctl --list-sas näyttää yhden rivin in ja yhden rivin out kutakin asennettua lasta kohden, ja kukin päättyy tavu- ja pakettimäärään; vanhemmat stroke-työkalut kutsuvat samaa paria bytes_i ja bytes_o. Lue molemmat suunnat erikseen, sillä suunta, joka jäi lattaksi, on löydös. Niiden yhteenlaskeminen kätkee juuri sen epäsymmetrian, jota etsit.

Molemmat näkymät ovat yhteyttä kohti, joten avainten uusinta asentaa tuoreen SPI-parin ja perustasosi palaa nollaan minkään rikkoutumatta. Kirjaa tarkkailemasi SPI ennen kuin uusinnan ajastin laukeaa, tai vertaat uutta SA:ta vanhaan lukuun. Jos lähtevä kasvaa ja saapuva pysyy lattana, valitsin osui eikä vastausta koskaan tullut, mikä siirtää tutkinnan vastapuolen välitykseen ja sen omaan käytäntöön. strongSwanin IKEv2-kokoonpanon dokumentaatio kattaa ala-SA:n elinkaaren ja näiden lukujen takana olevan uusinta-ajan.

Havaintopiste on erillinen muuttuja paketin alkuperästä. Laitteistopohjainen purku voi kasvattaa yhteyden laskureita, kun taas rajapinnan ohjelmistokaappaus ei näytä mitään, koska puretut paketit ohittavat koukun, jolla kaappaus istuu, ja saapuva suunta voi poiketa samalla tavoin. Kun ne kaksi ovat eri mieltä, vastaa laskureilla, osuiko mikään, ja kaappauksella, miltä paketti näytti.

Reitti, valitsimet ja missä paketti syntyi

Vertaa kolmea asiaa rinnakkain: reittiä, jonka ydin valitsee kohteellesi, käytäntöä, joka ohjaa liikenteen tunneliin, ja valitsinparia, josta lapsi sopi. ip route get 10.2.0.9 from 10.1.0.5 nimeää rajapinnan ja lähteen, joita ydin käyttäisi, eikä se useinkaan ole se pari, jonka oletit. ip xfrm policy näyttää paikallisesti asennetut mallineet ja valitsimet, kun taas swanctl --list-sas näyttää, mistä vastapuoli sopi. Haku, joka lähettää paketin fyysisestä rajapinnasta ulos, ei koskaan saavuta käytäntöä, joten laskurit eivät voi liikkua.

Yhteensopimattomuudet tulevat useassa muodossa, jotka laskurin näkökulmasta näyttävät samalta. IPv6-kohde IPv4-valitsimen ulkopuolella, väärän aliverkon lähdeosoite ja lasta kapeampi käytäntö tuottavat kaikki saman nollan. Korjaa ensin kapein syy, sillä valitsimen levennys pelkän luvun siirtämiseksi muuttaa sitä, mitä tunneli suojaa.

Sitten on paketin alkuperä, ansa, jonka yhdyskäytävä virittää omalle operaattorilleen. Liikenne, jonka yhdyskäytävä itse tuottaa, täsmäytetään lähtevään käytäntöön, kun taas paketti, jonka se välittää asiakkaalle, täsmäytetään välityskäytäntöön, joten koneelta lähtevä ping voi onnistua reitillä, jota mikään asiakas ei koskaan kulje.

Yksi peruttavissa oleva muutos ja raportti, joka kestää katsauksen

Muuta yhtä elementtiä, toista identtinen pyyntö ja lue samat laskurit. Kaikkien palomuurisääntöjen tyhjentäminen tai kaikkien valitsimien korvaaminen kerralla liikuttaa lukua ja tuhoaa todisteen, joka kertoi sinulle miksi. Jos toinen ajo näyttää edelleen nollaa, olet sulkenut pois yhden hypoteesin sen sijaan, että olisit tuhlannut iltapäivän.

Kirjoita löydös muotoon, jonka joku toinen voi toistaa: lapsen nimi, hyväksytyt alueet, kiinnittämäsi lähde, testaamasi kohde, suunta joka jäi nollaan ja lukemasi SPI. Juuri se lause erottaa yhteyden, jota kukaan ei käyttänyt, etäisestä sovelluksesta, joka vastaanotti liikenteen ja hylkäsi sen. Peruuta muutos, kun se ei liikuttanut laskureita, ja säilytä merkintä; seuraava aloittaa siitä, mihin sinä lopetit. Tunnelin mitään osaa ei tarvinnut rakentaa uudelleen tämän takia, ja juuri siinä on mieli täsmäytyksen tarkistamisessa ennen kokoonpanon koskemista.