Dûbele IKE-pakketten: fyn de ûntbrekkende oergong
In werhelle IKE-fersyk is in timerbarren, gjin diagnoaze. Bou ien bewiisketting fan inisjatyfnimmer nei antwurd, mei de krekte ferzje-identifiers.
It loch lit itselde IKE-fersyk twa kear sjen, immen wiist nei de mobile uplink en it ticket slút mei in gissing. Dy gissing is de myte: in werhelle pakket is in waarnimming oer ien útwikseling, gjin diagnoaze fan in keppeling. Werstjoering is normaal gedrach mei eigen regels, en it ferskynt op sûne paden as in antwurd stadich is. Folgje it antwurd foardat jo in ynterface de skuld jouwe.
De myte: in werhelle fersyk bewiist ferlies op ien keppeling
Twa ferskillende dingen meitsje in dûbel, en gjinien fan beide neamt in skuldige. De oanfreger kin in fersyk werhelje om't er gjin antwurd krige, of it opfangpunt kin itselde pakket twa kear sjen litte troch wêr't it oan de stapel fêst sit. In tap dy't yngong en útgong op deselde host sjocht, sil ien pakket mei nocht as twa logge, en de operator dy't dat loch lêst hat gjin manier om it ferskil te sjen sûnder de útwikselingsidentifiers. Behannelje it dûbel as in timerbarren oant jo sizze kinne hokker fan de beide jo yn 'e hân hawwe.
Twa uplinks meitsje de betizing grutter ynstee fan better. Ien lochrigel neamt ien ynterface, wylst it antwurd troch de oare gien wêze kin, dus de ynterface yn it berjocht beskriuwt wêr't in pakket sjoen is en net de foarm fan it petear. Dêrom is de earste fraach hokker útwikseling jo besjogge, net hokker keppeling defekt is.
Wat de werstjoering jo eins fertelt
Yn IKEv2 wurket werstjoering sa: de oanfreger werhellet in fersyk as der gjin antwurd oankommen is, en de antwurder kin syn bewarre antwurd opnij stjoere ynstee fan in nij te berekkenjen. Berjochtsidentifiers hearre by dy útwikseling, en dat is wat in werhelle fersyk mei deselde identifier werkenber makket as it protokol dat wurket, net as in nije poging. In earste poging hat foar korrelaasje faak mear nedich as in boarneadres of in SPI fan de inisjatyfnimmer, dus it eigen útwikselingsrecord fan it platfoarm is better as in pakketlist. IKEv1 folget oare regels mei oare identifiers, en in warskôging fan in leveransier oer in dûbel earste pakket betsjut net itselde oer ferzjes hinne.
Dus in tiidstimpel fan werstjoering fertelt jo dat in timer ferrûn is. It fertelt jo net hokker hop stadich wie, en it fertelt grif net dat de operator skuld hat. Dat binne aparte bewearings, en allinnich de twadde is nuttich yn in ticket.
It praktyske gefolch is de útwikseling fêst te lizzen foardat jo in konklúzje lûke. Skriuw it lokale ûntfangstadres, it antwurdpaad dat it belied keas, it pear-tuple en de útwikselingsidentifiers op ien plak, want elk fan dy beantwurdet in oare fraach as it record letter lêzen wurdt.
Fjouwer waarnimmingspunten as ien ketting
Tink oan de útwikseling as fjouwer skakels yn in ketting, net as fjouwer aparte plakken om te sjen. In skakel hâldt bewiis of bliuwt ûnbekend, en de ketting is mar sa ynformatyf as syn swakste fêstleine skakel. De tabel hjirûnder is de ynventaris: wat elk plak fêststelle kin en wat it ûnoantaast lit.
| Plak | Bewiis dat it leverje kin | Wat it iepen lit |
|---|---|---|
| De inisjatyfnimmer stjoert | In fersyk ferliet dizze host | Oft it it pear berikte |
| De antwurder ûntfangt | It fersyk kaam oan | Oft der in antwurd makke waard |
| De antwurder stjoert | In antwurd ferliet de gateway | Oft it it bedoelde paad folge |
| De inisjatyfnimmer ûntfangt | De útwikseling waard foltôge | Oft it belied it resultaat akseptearre |
Folje de ketting allinnich yn wêr't jo tagong ta hawwe, en markearje de rest as ûnbekend ynstee fan it ôf te lieden. In hook dy't pakketten op ien masine fêstleit seit neat oer wat de fiere masine ûntfong, en in lochrigel dy't fernimt dat in fersyk sjoen is, is gjin bewiis dat der ea in antwurd fuortgien is. Earlike gatten binne nuttiger as in folslein lykjend record dat fan gissingen boud is.
Fyn de earste ûntbrekkende oergong
Rin de ketting fan de inisjatyfnimmer nei bûten en stop by de earste skakel sûnder bewiis. As de gateway it fersyk nea logt, sit de flat op it paad dêrfoar. As de gateway itselde fersyk hieltyd wer logt wylst de klant nea in antwurd logt, is de weromrjochting de fertochte: boarneadres, oersetting en filtering by elk grins dat jo beheare. As it antwurd oankomt en de klant giet dochs net fierder, hat de fraach it ferfier ferlitten en is it belied of tastân wurden.
Hâld it pear en it protokol fêst wylst jo ferlykje, en tink deroan dat fertraging, ferlies, belied en tastân elk in oare tiidline meitsje. In mobyl netwurk is net automatysk de oarsaak, en in fêste line is net automatysk betrouber genôch foar elke eask. Fange beide rjochtings op wylst de útwikseling libbet:
tcpdump -ni any -vv 'udp port 500 or udp port 4500'As tagong foar it fiere ein ophâldt, helpt it record noch as it seit wêr't it ophâldt. In opname allinnich op 'e inisjatyfnimmer kin in fersyk sjen litte dat fuortgiet en gjin antwurd dat oankomt, wat de flat ferlytset ta alles nei dy hook sûnder te bearen dat jo witte hokker hop it falle litten hat. Markearje de fiere skakels as ûnbekend en lit de folgjende persoan mei tagong se folje. Sa skreaun bliuwt it record earlik en noch koart.
Ferlykje foardat jo wat feroarje. Itselde fersyk werhelje nei itselde pear mei itselde protokol hâldt de fariabelen te tellen, wylst in reset, in kaaifernijing of in beliedswiziging tusken opnames de ferliking ferneatiget. As in feroaring net te foarkommen is, meitsje daliks dêrnei in nije opname, sadat foar en nei noch itselde útwikseling beskriuwe.
Wat in nuttich rapport seit
In rapport dat it wurdich is om op te hanneljen keppelt ien fersyk oan syn antwurd en neamt de earste stap dêr't gjin bewiis efter sit. Dy sin oerlibbet it lêzen in wike letter troch in yngenieur dy't der net by wie, en hy jout de folgjende persoan in plak om te begjinnen ynstee fan in fertochte.
Ferswakje nea identiteitskontrôles en ferbreedzje de tastiene protokolset net allinnich om in werstjoeringsteory te kontrolearjen. Bewarje de orizjinele pakketten en barrenrecords foar elke reset, want in reset ferneatiget krekt it materiaal dat jo fan doel wiene te sammeljen en wisket de timing dy't sjen liet wêr't de útwikseling fêstrûn.
De myte is dat ien dûbel bewiist dat de operator skuld hat. De realiteit is dat ien dûbel bewiist dat in timer ferrûn is, en it antwurd libbet op it antwurdpaad.