DPD odgovori dokazuju da je IKE peer živ, a ne da vaši podaci teku
Odgovori o živosti, obavijest o popunjavanju i suženi selektori opisuju tri različite stvari. Čitajte ih odvojeno prije nego što jednu okrivite za zastoj.
IPsec zapisi mogu prikazivati odgovore o živosti dok aplikacija ispred njih stoji, a obje činjenice mogu biti istodobno točne. DPD odgovor utvrđuje da je IKE obrada peera odgovorila u tom trenutku; ne govori ništa o tome nosi li dijete SA paket koji vas zanima. Tretirati svako upozorenje blizu prekida kao njegov uzrok jest način na koji se problem selektora dijagnosticira kao greška protokola. Tri se zapažanja najčešće miješaju i ona odgovaraju na tri različita pitanja. Čitajte ih po vezi i namjeni prije nego što ih čitate po vremenskoj oznaci.
Što svako zapažanje dokazuje
Tablica razdvaja što svako zapažanje utvrđuje od onoga što samo prati.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Nijedno od tri nije greška samo po sebi. Svako postaje zanimljivo tek uz tok koji otklanjate, a redak koji se ne može vezati uz određeni tok je kontekst, a ne dokaz.
Živost nije zdravlje podataka
DPD radi kao INFORMATIONAL razmjena, razgovor kontrolne razine između IKE demona. Odgovor dokazuje da je IKE proces peera dostupan i voljan odgovoriti, a istek vremena dokazuje da nije. Nijedan rezultat ne provjerava dijete SA, selektore, put prosljeđivanja ni odgovor aplikacije, pa je zdrav DPD uz zaustavljen prijenos koherentna slika, a ne proturječje.
Zato su retci živosti najmanje koristan dio tiketa podatkovne razine, koliko god umirujuće izgledali na vrhu zapisa.
Obavijest o popunjavanju izjava je o popunjavanju
TFC popunjavanje je najviše prečitan redak u tim zapisima. Kaže da popunjavanje radi povjerljivosti toka prometa neće biti prihvaćeno za to dijete SA, što je izjava o neobaveznoj funkciji popunjavanja, a ne odbijanje ESP zaštite. Pronalaženje istoga blizu kvara obično je slučajnost rječitosti, a uključivanje ili isključivanje popunjavanja ne mijenja ništa u pokrivenosti selektora.
Specifikacija IKEv2 definira i obavijest i pregovaranje o selektorima, a oznaka upozorenja neke implementacije ni u jednom slučaju ne zamjenjuje značenje protokola.
Sužavanje je tiše i vjerojatnije važno
Odgovarač može prihvatiti podskup ponuđenih selektora, a prihvaćeni skup može biti ispisan kroz nekoliko unosa, jedan kvalificiran portom i drugi koji pokriva sve portove. Čitanje samo prvog retka kvalificiranog portom podcjenjuje ono što je prihvaćeno; čitanje samo širokog retka ga precjenjuje. Usporedite ispisani prijedlog s instaliranom politikom, jer prijedlog je ono što su peerovi rekli, a politika je ono što će jezgra upariti. Kada se ne slažu, tunel postoji, a promet ne, što je klasična povremena žalba. Obrnite lokalnu i udaljenu perspektivu kada uspoređujete peere, jer lokalno svake strane je udaljeno one druge.
Unosi specifični za host s ograničenjem porta vrijede dvostrukog čitanja, jer upravo oni isključuju ICMP ili drugi port dok ping prema gatewayu ostaje funkcionalan.
Napravite jedan zapis za tok koji ne uspijeva
Zapišite izvor, odredište, obitelj adresa, protokol i port kako se vide pri odluci o zaštiti, uključujući svako namjerno prevođenje. To su vrijednosti koje moraju odgovarati selektoru, a to su i vrijednosti koje ljudi prepisuju po sjećanju kada tiket dođe do trećeg para ruku.
Zatim identificirajte dijete SA i njegove smjerne brojače: swanctl --list-sas daje sažetak asocijacije na strongSwan hostu, a ip -s xfrm state daje brojače. Čitajte ih nakon svježeg dopuštenog zahtjeva, a ne dok sustav miruje. Izostanak rasta odlaznog prometa ukazuje na selekciju ili lokalni put; odlazni bez odgovarajućeg dolaznog ukazuje na peera, njegovo prosljeđivanje ili njegove odgovore.
Završena razmjena aplikacije nadjačava bilo koji brojač, zato test treba završiti na aplikaciji, a ne na indikatoru tunela.
Odaberite ispravak nakon toga
Tek nakon što taj zapis postoji, postoji ispravak koji treba odabrati: prihvaćeni selektori, ruta, filtriranje, implementacija peera ili granica koju ste sada dokazali. Resetiranje peera mijenja nekoliko stanja odjednom i često vraća promet bez objašnjenja koje je bilo pogrešno, pa se prekid vraća. Držite ispise stanja jezgre izvan tiketa, jer mogu sadržavati ključeve, a kratak sažetak dovoljan je svakome kome treba pomoć.
Kada se zapis protivi vašoj prvoj teoriji, vjerujte zapisu i prepišite teoriju; ta navika vrijedi više od bilo kojeg pojedinačnog retka zapisa o kojem se ovdje govori.