DPD-antwurden bewiize dat de IKE-peer libbet, net dat jo gegevens streame
Libbenskrêft-antwurden, in padding-melding en fersmelle selektors beskriuwe trije ferskillende dingen. Lês se apart foar't jo ien de skuld jouwe fan in stilsin.
IPsec-logboeken kinne libbenskrêft-antwurden sjen litte wylst de applikaasje derfoar stil stiet, en beide feiten kinne tagelyk wier wêze. In DPD-antwurd befêstiget dat de IKE-ferwurking fan de peer op dat stuit antwurde hat; it seit neat oer de fraach oft de bern-SA it pakket ferfiert dat jo wichtich fine. Eltse warskôging by in steuring as de oarsaak derfan behannelje is de manier wêrop in selektorprobleem as in protokolflater diagnostisearre wurdt. Trije observaasjes wurde it meast trochinoar helle, en se beäntwurdzje trije ferskillende fragen. Lês se nei ferbân en doel foar't jo se nei tiidstimpel lêze.
Wat elke observaasje bewissiget
De tabel skiedt wat elke observaasje fêststelt fan wat dy allinnich begeliedt.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Gjin fan de trije is op himsels in flater. Elk wurdt pas nijsgjirrich neist de stream dy't jo debugge, en in rige dy't net oan in bepaalde stream keppele wurde kin is kontekst, gjin bewiis.
Libbenskrêft is gjin gegevenssûnens
DPD rint as in INFORMATIONAL-útwikseling, in petear op bestjoeringsnivo tusken IKE-daemons. In antwurd bewissiget dat it IKE-proses fan de peer berikber is en ree om te antwurdzjen, en in tiidferrin bewissiget dat it dat net is. Gjin fan beide resultaten testet de bern-SA, de selektors, it trochstjoerpaad of it antwurd fan de applikaasje, dus sûne DPD neist in stilstiene oerdracht is in gearhingjend byld, gjin tsjinstelling.
Dêrom binne de libbenskrêft-rigels it minst brûkbere part fan in dataflak-ticket, hoe gerêststellend se der ek útsjen boppe oan it logboek.
De padding-melding is in útspraak oer padding
TFC-padding is de rigel dy't it meast tefolle lêzen wurdt yn dizze logboeken. Hy seit dat padding foar fertroulikheid fan ferkearsstream net akseptearre wurdt foar dy bern-SA, wat in útspraak is oer in opsjonele paddingfunksje en gjin ôfwizing fan ESP-beskerming. It by in flater fine is meast in tafal fan spraaksume, en padding oan of út sette feroaret neat oan de selektordekking.
De IKEv2-spesifikaasje definiearret sawol de melding as it selektorûnderhanneljen, en it warskôgingslabel fan in ymplemintaasje ferfangt it protokolbetjutsel yn gjin fan beide gefallen.
Fersmelling is stiller en wierskynliker fan belang
In antwarder kin in subset fan de oanbeane selektors akseptearje, en de akseptearre set kin oer ferskate items printe wurde, ien poartekwalifisearre en in oare dy't alle poarten beslacht. Allinnich de earste poartekwalifisearre rigel lêze ûnderskat wat akseptearre is; allinnich de brede rigel lêze oerskat it. Fergelykje it printe foarstel mei it ynstallearre belied, want it foarstel is wat de peers sein hawwe en it belied is wat de kearn passe sil. As se net oerienkomme, bestiet de tunnel en it ferkear net, wat de klassike tuskenskoftsjende klacht is. Draai it lokale en it fiere perspektyf om as jo peers fergelykje, want it lokale fan elke kant is it fiere fan de oare.
Hostspesifike items mei in poartebeperking binne it twadde lêzen wurdich, want dat binne dejingen dy't ICMP of in twadde poart útslute wylst in ping nei de gateway wurkjen bliuwt.
Bou ien record foar de mislearjende stream
Skriuw boarne, bestimming, adresfamylje, protokol en poart op sa't se by it beskermingsbeslút te sjen binne, ynklusyf eltse opsetlike oersetting. Dat binne de wearden dy't by in selektor passe moatte, en it binne ek de wearden dy't minsken út it ûnthâld opnij typje as it ticket by in tredde pear hannen komt.
Identifisearje dan de bern-SA en syn tellers per rjochting: swanctl --list-sas jout it assosjaasoersjoch op in strongSwan-host, en ip -s xfrm state jout de tellers. Lês se nei in farsk tastien fersyk ynstee fan wylst it systeem stil is. Gjin groei yn útgeand ferkear wiist op seleksje of it lokale paad; útgeand sûnder byhearrende yngeand wiist op de peer, syn trochstjoering of syn antwurden.
In foltôge applikaasje-útwikseling giet boppe beide tellers, dêrom moat de test by de applikaasje einigje en net by de tunnelindikator.
Kies dêrnei de korreksje
Pas as dat record bestiet is der in korreksje te kiezen: akseptearre selektors, rûte, filterjen, peer-ymplemintaasje of in grins dy't jo no oantoand hawwe. It weromsetten fan de peer feroaret ferskate tastannen tagelyk en herstelt faak it ferkear sûnder te ferklearjen hokker ferkeard wie, sadat de steuring weromkomt. Hâld kearntastân-dumps ek bûten tickets, want se kinne kaaien befetsje en it krape oersjoch is genôch foar elkenien dy't helpe moat.
As it record jo earste teory tsjinsprekt, leau it record en skriuw de teory oer; dy gewoante is mear wurdich as hokker inkeld logrigel dan ek dy't hjir besprutsen wurdt.