Ceist bhunachar sonraí ag crochadh thar IPsec: athordú UDP nó TCP?
Ceist a chrochann tar éis croith láimhe glan díríonn sí ar an taobh istigh de chonair an tolláin. Cinneann trí choinníoll an gceartaítear an chonair nó an bhfilltear ar TCP ar 443.
Ní fadhb ródaithe í ceist a chrochann tar éis croith láimhe TCP. Teipeann croith láimhe ar lochtanna róid, mar sin díríonn seisiún a bhunaítear agus a éistear ina dhiaidh sin ar an taobh istigh den chonair: iniúchadh, MTU, nó an chaoi a dtagann paicéid UDP an tolláin. Is é an cinneadh atá romhat ná an gceartóidh tú an chonair sin nó an aistreoidh tú an tollán go TCP. Cinneann trí choinníoll é, agus ní bhaineann ceann ar bith acu leis an mbunachar sonraí.
Aicmigh an crochadh sula gcuireann tú an locht ar an tollán
Féachann ceithre thoradh mar an gcéanna don úsáideoir agus ciallaíonn siad rudaí iomlán difriúla don innealtóir.
| What the client sees | What it rules out |
|---|---|
| Connection refused | Nothing is listening on the address and port the client reached |
| Timeout before the handshake | A filter, a missing route, or the wrong address |
| Handshake completes, query hangs | The session exists, so look at inspection, MTU and packet order |
| Stalls that recover on retry | Often reordering, or a state table entry expiring |
Ní cheadaíonn ach an dá ró dheireanacha am a chaitheamh ar an tollán. Is gnách gurb é nasc a diúltaíodh thar VPN an bunachar sonraí ag éisteacht ar loopback amháin, rud is fadhb éisteora é, agus is scagaire nó ród é amscaí roimh an croith láimhe. Ní fheabhsaíonn ceachtar acu trí athrú an imchochlaithe.
Scríobh an t-aicmiú sa ticéad ar dtús. Is é an chéim is saoire agus baintear an chuid is mó den spás cuardaigh amach.
Trí choinníoll a chinneann UDP in aghaidh TCP
Taistealaíonn trácht IPsec imchochlaithe ar UDP, agus tugann UDP saoirse don chonair athordú agus titim gan é a rá le haon duine. Nuair a bhrúnn an t-athordú paicéid lasmuigh de fhuinneog fhrith-athsheinnmhe an tolláin, caitear iad go ciúin agus fanann seisiún TCP istigh go simplí. Sin an mheicníocht atá taobh thiar de chroith láimhe a n-éiríonn leis agus de cheist nach bhfilleann choíche.
Braitheann ceartú na conaire nó filleadh ar TCP ar thrí rud. Ar dtús, an bhfuil cailliúint paicéad fíor ar an gconair, nó athordú amháin? Sa dara háit, an féidir leat athrú cá dtarlaíonn an t-iniúchadh, nó an tollán seo a eisiamh ón gcomhpháirt a athordaíonn? Sa tríú háit, an bhfuil an t-ualach oibre íogair don phatrún crochta, mar shampla a lán seisiún ilphléacsaithe ag roinnt aon nasc amháin?
Má tá cailliúint mar an chéad fhreagra agus nach ea mar an dara ceann,is é TCP ar 443 an rogha phragmatach. Má tá sé mar fhreagra ar an dara ceann, ceartaigh an chonair agus coinnigh UDP.
Léigh taifead an bhalla dóiteáin, ní earráid an fheidhmchláir
Tuairiscíonn an feidhmchlár amscaí, rud nach n-insíonn aon rud duit faoin gcúis. Is é log an bhalla dóiteáin féin an áit a bhfeictear an titim nó an blocáil, mar sin scag de réir sheoltaí an bhunachair sonraí agus an fheidhmchláir agus lorg titim chomh maith le glacadh.Is féidir le lanna cosc bagairtí paicéid a chaitheamh gan earráid ag leibhéal an fheidhmchláir a ghiniúint, agus sin go beacht cruth ceiste a chrochann. Is sonraí é an ciúnas sa log freisin: díríonn sé ar rud nach ndéanann logáil, ar nós athordú.
Seiceáil an braisle freisin. Is féidir le braisle mhíchumraithe seisiún a choinneáil sa tábla stáit ar chomhalta amháin agus na paicéid ag glacadh conair comhalta eile, mar sin sroicheann freagraí áit nach bhfuil aon stáit ann. Breathnaíonn na crochtaí sin go randamach agus ní bhíonn comhghaol acu leis an ualach.
Déan comparáid idir an dá cheann roimh aon athrú, agus déan comparáid idir ord teachta seachas líon na bpaicéad:
tcpdump -ni any udp port 4500 -w /tmp/encap.pcap
tcpdump -ni any tcp port 5432 -w /tmp/inner.pcapCad a chosnaíonn TCP ar 443 duit i ndáiríre
Baineann aistriú an tolláin go TCP an tsíomptóm athordaithe amach, mar go bhfeiceann an mheánbhosca sruth ordaithe anois. Cruthaíonn sé TCP thar TCP freisin. Athsheolann an nasc seachtrach an rud a d'athsheol an nasc istigh cheana, agus is féidir le cailliúint amháin gach seisiún ilphléacsaithe a stopadh ag an am céanna. Ar chonair ghlan tá sé sin dofheicthe. Ar cheann a chailltear, tá an leigheas níos measa ná an tsíomptóm.
Tá an mhalairt inghlactha nuair is é an t-aon rogha eile ná gan aon nascacht, agus ba cheart í a dhoiciméadú mar eisceacht le húinéir seachas a glacadh mar rud normálta.
Taifead an t-iompar, an port, ceist shamplach agus an toradh tomhaiste, móide an dáta. Gan an taifead sin déanann an chéad innealtóir eile an turgnamh arís, agus éiríonn an eisceacht ina ailtireacht go ciúin.
Coinnigh an cinneadh in-athbhreithnithe
Éiríonn diagnóis conaire sean go dona. Cuirtear an mheánbhosca in ionad, athraíonn cumraíocht na lainne, uasghrádaítear an nasc, agus imíonn an chúis le TCP ar 443 agus an chumraíocht fós ann. Cuir dáta athbhreithnithe ar an eisceacht agus ainmnigh an coinníoll a ligfeadh duit filleadh ar UDP.
Tástáil an dá iompar le ceist bheag agus le tacar torthaí mór. Taispeántar athordú mar chrochtaí atá ag brath ar mhéid, agus stopann locht éisteora an dá mhéid go cothrom.