בדיקת IKEv2 לאיתור עמית מת אינה בודקת את האפליקציה שלכם

בדיקת החיות של IKEv2 שואלת שאלה אחת: האם העמית האחר עדיין משיב על יחס הבקרה המוגן. היא אינה מודדת אם אפליקציה פנימית בריאה, אם קיים מסלול מאחורי השער, או אם הגלישה מרגישה מהירה. הבדיקה יכולה לעבור בעוד כל דבר שימושי מאחורי המנהרה נכשל.

יש לקרוא את שני סוגי הראיות בנפרד לפני שמשנים טיימר.

מה בדיקת החיות באמת שואלת

חילופי חיות נשלחים בתוך אסוציאציית האבטחה של IKE שכבר הוקמה ומצפים לתשובה בתוך חלון מוגדר. הצלחה פירושה שמימוש ה-IKE של העמית עדיין שם ועדיין מוכן לדבר. היא אינה אומרת דבר על אסוציאציות האבטחה הבנות שנושאות תעבורה, דבר על ניתוב מעבר לשער, ודבר על השירות שלמענו פתחתם את המנהרה. אלו שלוש שאלות נפרדות עם שלושה מצבי כשל נפרדים.

ההבחנה הזו קובעת היכן להסתכל כשהסשן שותק. עמית שממשיך להשיב בזמן שמסלול נתונים שבור מצביע על מדיניות, ניתוב או שירות במורד הזרם. עמית שמפסיק להשיב מצביע על נגישות או על מצבו של הקצה המרוחק עצמו.

קראו את אסוציאציות האבטחה לפני הדפדפן

מצב הבקרה ומצב הנתונים מופיעים בנפרד כששואלים את הדמון, והמונים אומרים אם נעשה ניסיון בכלל. אסוציאציה בת שמעולם לא הותקנה נראית אחרת לגמרי מזו שהותקנה ואז הפסיקה להעביר מנות, אף ששתיהן מייצרות את אותה תלונת משתמש.

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

רשמו את שמות המצב כפי שהם בכרטיס, יחד עם המונים ברגע התלונה. תיאור כמו מנהרה למטה מסתיר איזו משתי האסוציאציות הסתיימה, וזה בדרך כלל העובדה היחידה ששווה להחזיק.

כשל מסלול נראה בדיוק כמו עמית מת

השער יכול להשיב לחילופי בקרה בזמן ששרת פרטי אינו מחובר, שמסלול מועבר חסר, או שפתרון שמות פנימי נכשל לגמרי. מנקודת המבט של הלקוח, כל אחד מאלה נראה כסשן פעיל ויעד שאינו פעיל. בדקו את מסלול החזרה בקפידה כמו את המסלול הקדמי, כי ניתוב א-סימטרי בצד המרוחק מייצר שקט בכיוון אחד בלבד.

בדקו את האפליקציה המיועדת ישירות ונקבו בכתובת שהיא ניסתה, במקום לבדוק אם המנהרה פעילה. פינג לשער מוכיח שהשער משיב; הוא מעולם לא הוכיח שהאפליקציה השיבה. רשמו את הכתובת המדויקת שהאפליקציה ניסתה. המחרוזת הזו מצמצמת את החיפוש אחר כך, וזה העובדה היחידה שהכרטיס בדרך כלל משמיט.

הרחיקו טיימרים מהאבחון

קיצור מרווח זיהוי אינו שינוי ביצועים ואינו מוסיף קיבולת. תחת אובדן מנות הוא משנה כמה מהר כשל מזוהה, מה שיכול לגרום לתסמין להיראות אחרת בלי לשפר דבר. רשמו קודם את זמן הכשל האמיתי, ואז החליטו אם הסובלנות שגויה עבור הקישור שבאמת יש לכם.

רענוני מיפוי NAT שייכים לאותה קטגוריה. הם שומרים על מסלול מתורגם שמיש, והם אינם ראיה לכך שהאפליקציה המרוחקת עובדת.

מדיניות התאוששות מלאה אומרת מה הלקוח צריך לעשות כשעמית מוכרז כמת: להפעיל מחדש, לסגור או להחזיק, ומה תעבורה אחרת רשאית לעשות בזמן שזה קורה. בלי זה, אותו אירוע מאובחן מחדש מאפס בכל רבעון.