IKEv2-fragmintaasje ûnderskiede fan in sertifikaatkeatlingprobleem

De tunnel wurke op it kantoarnetwurk en bliuwt thús hingjen, en it loch lit de earste útwikseling klear wêze foardat der wat oars bart. Dat patroan wiist op de autentikaasje-útwikseling, net op ynloggegevens: in sertifikaatkeatling makket dat berjocht folle grutter as it foarige, en in paad dat net fan grutte datagrammen hâldt, sil it stilwei falle litte. Twa ferskillende fragmintaasjemechanismen binne belutsen, en witte hokker jo sjogge bepaalt de oplossing.

Twa fragmintaasjemechanismen, ien symptoom

IKEv2 hat syn eigen fragmintaasje-útwreiding, definieare yn RFC 7383, dy’t beskerme IKE-berjochten yn lytsere IKE-berjochten splitst. De pearen ûnderhannelje dy mooglikheid, en in berjocht wurdt troch de IKE-ymplemintaasje wer gearstald, net troch de IP-laach.

Gewoane IP-fragmintaasje is in oar mechanisme mei in oare flatermodus. In router tusken de pearen fragmintearret in grut datagram, of smyt it fuort en stjoert in ICMP-berjocht werom dat de stjoerder miskien nea berikt. Guon netwurken smite fragminten stilwei fuort, en guon tuskenlizzende apparaten behannelje it earste fragmint mar net de rest. Fanút de applikaasje sjoen lykje alle trije gefallen itselde.

NAT-trochgong foeget in tredde fariabele ta, om’t ESP dan yn UDP ferpakt wurdt en it bûtenste pakket grutter wurdt wylst it op gewoan UDP-ferkear op poarte 4500 liket. In paad dat UDP goed trochlitten kin, kin dochs misse op in datagram dat net mear past.

Lês de útwikseling dy’t mislearre

Sykje de oergong, net de flater. In loch dat de begjin-útwikseling stjoerd en beantwurde sjen lit, folge troch neat, fertelt jo dat it folgjende berjocht nea foltôge is. Ferheegje tydlik it lochnivo en fergelykje de rapportearre grutten op beide pearen.

Wat jo fêststelle wolle, is oft de beäntwurder it fersyk wol seach. As de inisjatyfnimmer wat stjoerd hat en de beäntwurder hat der gjin registraasje fan, dan is de levering it probleem. As de beäntwurder in fersyk analyze en wegere hat, is it sertifikaat sels it probleem, en fragmintaasje is in ôflieding. Dat ûnderskie is mear wurdich as in side fol time-outberjochten.

Feroarje it paad, net it sertifikaat

Test deselde klant, itselde sertifikaat en deselde konfiguraasje fan in oar netwurk. In mobyl hotspot is meastentiids it goedkeapste twadde paad, en it is echt oars as de kantoarferbining, net allinnich namme.

As it hânskud op it twadde paad klear is, is de sertifikaatkeatling goed en is it earste paad de fariabele. As it op beide identyk misse, stopje dan mei netwurken te testen en sjoch nei de berjochten sels. Dy iene fergeliking hellet sa’n helte fan de mooglike ferklearrings fuort.

Mjit de útwikseling foardat jo wat bewurkje

Krij de grutte fan de keatling en de grutte fan it paad. Beide getallen beheine wat it hânskud stjoere kin, en beide binne goedkeap te mjitten:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

De earste twa jouwe it oantal sertifikaten en de bestângrutte, wat in ridlike yndikator is foar hoe grut it autentikaasjeberjocht wurde sil. De ping-proef rapportearret oft in datagram fan dy grutte it paad oerlibbet, en de ynterface-tellers litte sjen oft fragminten by jo ein fuortsmiten binne. Op Windows is de lykweardige proef in ping mei de do-not-fragment-flagge en in eksplisite payloadgrutte.

Werhelje de proef nei ûnderen oant it slagget. De grutste grutte dy’t trochkomt is it wurkbudzjet foar dat paad, en it is better as hokker publisearre standertwearde dan ek.

Reparearje de laach dy’t echt stikken is

As it paad grutte datagrammen fuortsmiten, skeakelje dan IKE-fragmintaasje yn op beide pearen en befêstigje dat de útwreiding ûnderhannele is, net allinnich oanbean. As it paad fragminten op IP-nivo min behannelet, heart de repaaraasje dêre of yn ’e MTU fan ’e bûtenste ynterface, net yn it sertifikaatopslach.

As de keatling ûnnoadich lang is, koartsje him dan yn oant de tuskenlizzende sertifikaten dy’t in pear echt nedich hat. In woartel fuortsmite dy’t de klant al fertrout is ridlik ûnderhâld; in tuskenlizzende fuortsmite is dat net, en ferifikaasje útskeakelje om in berjocht te ferlytsjen ruilet in leveringsprobleem foar in feilichheidsprobleem.

Skriuw op hokker mechanisme jo feroare hawwe en hoe’t it hânskud dernei like. De folgjende kear is meastentiids op in oar netwurk mei itselde symptoom, en de notysje is wat twa oeren yn tsien minuten feroaret.