Distinguir a fragmentación de IKEv2 dun problema de cadea de certificados

O túnel funcionaba na rede da oficina e atáscase na casa, e o rexistro mostra que o primeiro intercambio se completa antes de que ocorra calquera outra cousa. Ese patrón apunta ao intercambio de autenticación, non ás credenciais: unha cadea de certificados fai que esa mensaxe sexa moito máis grande ca a anterior, e unha ruta que non tolera datagramas grandes descartaraa en silencio. Hai dous mecanismos de fragmentación distintos implicados, e saber cal está a mirar decide a solución.

Dous mecanismos de fragmentación, un síntoma

IKEv2 ten a súa propia extensión de fragmentación, definida en RFC 7383, que divide as mensaxes IKE protexidas en mensaxes IKE máis pequenas. Os pares negocian esa capacidade, e unha mensaxe volve a ensamblala a implementación de IKE en lugar da capa IP.

A fragmentación IP ordinaria é un mecanismo distinto cun modo de fallo distinto. Un encamiñador entre os pares fragmenta un datagrama grande, ou descártao e devolve unha mensaxe ICMP que pode que nunca chegue ao emisor. Algunhas redes descartan fragmentos en silencio, e algúns dispositivos intermedios manexan o primeiro fragmento pero non o resto. Desde o punto de vista da aplicación, os tres casos parecen idénticos.

A travesía de NAT engade unha terceira variable, porque entón ESP envolve en UDP e o paquete exterior faise máis grande mentres parece tráfico UDP normal no porto 4500. Unha ruta que deixa pasar ben o UDP aínda pode fallar cun datagrama que xa non cabe.

Lea o intercambio que fallou

Busque a transición, non o erro. Un rexistro que mostra o intercambio inicial enviado e respondido, seguido de nada, dielle que a mensaxe seguinte nunca se completou. Suba temporalmente o nivel de rexistro e compare os tamaños informados nos dous pares.

O que quere establecer é se o respondedor viu a solicitude. Se o iniciador enviou algo e o respondedor non ten ningún rexistro diso, o problema é a entrega. Se o respondedor analizou unha solicitude e rexeitouna, o problema é o propio certificado, e a fragmentación é unha distracción. Esa distinción vale máis ca unha páxina de mensaxes de tempo de espera.

Cambie a ruta, non o certificado

Probe o mesmo cliente, o mesmo certificado e a mesma configuración desde outra rede. Un punto de acceso móbil adoita ser a segunda ruta máis barata, e é realmente distinto do enlace da oficina, non só nominalmente.

Se o aperto de mans se completa pola segunda ruta, a cadea de certificados está ben e a primeira ruta é a variable. Se falla de forma idéntica nas dúas, deixe de probar redes e mire as mensaxes mesmas. Esa única comparación elimina aproximadamente a metade das explicacións posibles.

Mida o intercambio antes de editar nada

Obteña o tamaño da cadea e o tamaño da ruta. Os dous números limitan o que o aperto de mans pode enviar, e os dous son baratos de medir:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

Os dous primeiros dan o número de certificados e o tamaño do ficheiro, que é un indicador razoable de canto grande será a mensaxe de autenticación. A sonda ping informa se un datagrama dese tamaño sobrevive á ruta, e os contadores da interface mostran se se descartaron fragmentos no seu extremo. En Windows, a sonda equivalente é un ping coa marca do-not-fragment e un tamaño de carga útil explícito.

Repita a sonda cara abaixo ata que teña éxito. O tamaño maior que pasa é o orzamento de traballo para esa ruta, e é máis útil ca calquera valor predeterminado publicado.

Arranxe a capa que está realmente rota

Se a ruta descarta datagramas grandes, active a fragmentación IKE nos dous pares e confirme que a extensión se negociou, non só se ofreceu. Se a ruta manexa mal os fragmentos a nivel de IP, a corrección pertence alí ou ao MTU da interface exterior, non ao almacén de certificados.

Se a cadea é innecesariamente longa, recórtea ata os certificados intermedios que un par realmente necesita. Quitar unha raíz na que o cliente xa confía é un mantemento razoable; quitar un intermedio non o é, e desactivar a verificación para reducir unha mensaxe cambia un problema de entrega por un de seguridade.

Anote que mecanismo cambiou e como era o aperto de mans despois. A seguinte aparición adoita ser noutra rede co mesmo síntoma, e a nota é o que converte dúas horas en dez minutos.