IKEv2 provjera mrtvog partnera ne testira vašu aplikaciju

IKEv2 provjera živosti postavlja jedno pitanje: odgovara li drugi partner još uvijek na zaštićenom kontrolnom odnosu. Ne mjeri je li unutarnja aplikacija zdrava, postoji li ruta iza pristupnika ni čini li se pregledavanje brzim. Provjera može proći dok sve korisno iza tunela ne radi.

Pročitajte dvije vrste dokaza odvojeno prije nego promijenite mjerač vremena.

Što provjera živosti zapravo pita

Razmjena živosti šalje se unutar uspostavljene IKE sigurnosne asocijacije i očekuje odgovor u zadanom prozoru. Uspjeh znači da je partnerova IKE implementacija još uvijek tu i još uvijek spremna razgovarati. Ne govori ništa o podređenim sigurnosnim asocijacijama koje prenose promet, ništa o usmjeravanju iza pristupnika i ništa o usluzi zbog koje ste otvorili tunel. To su tri odvojena pitanja s tri odvojena načina kvara.

Ta razlika određuje gdje ćete pogledati kada sesija utihne. Partner koji nastavlja odgovarati dok je podatkovna ruta pokvarena upućuje na pravila, usmjeravanje ili uslugu nizvodno. Partner koji prestane odgovarati upućuje na dostupnost ili na vlastito stanje udaljenog kraja.

Pročitajte sigurnosne asocijacije prije preglednika

Kontrolno stanje i podatkovno stanje ispisuju se odvojeno kada upitate daemona, a brojači govore je li uopće nešto pokušano. Podređena asocijacija koja nikada nije ugrađena izgleda posve drukčije od one koja je ugrađena pa prestala propuštati pakete, iako obje daju istu korisničku pritužbu.

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

Zapišite nazive stanja doslovno u tiketu, zajedno s brojačima u trenutku pritužbe. Opis poput tunel pao skriva koja je od dvije asocijacije završila, a to je obično jedina činjenica koju vrijedi imati.

Kvar rute izgleda točno kao mrtav partner

Pristupnik može odgovarati na kontrolne razmjene dok je privatni poslužitelj izvan mreže, proslijeđena ruta nedostaje ili unutarnje razrješavanje naziva posve zataji. Iz perspektive klijenta svaki od tih slučajeva izgleda kao sesija koja je aktivna i odredište koje nije. Provjerite povratnu rutu jednako pažljivo kao i prednju, jer asimetrično usmjeravanje na udaljenoj strani stvara tišinu samo u jednom smjeru.

Testirajte namjeravanu aplikaciju izravno i navedite adresu koju je pokušala, umjesto da testirate je li tunel aktivan. Ping prema pristupniku dokazuje da pristupnik odgovara; nikada nije dokazao da je aplikacija odgovorila. Zabilježite točnu adresu koju je aplikacija pokušala. Taj niz kasnije sužava pretragu i to je jedina činjenica koju tiket obično izostavlja.

Držite mjerače vremena izvan dijagnoze

Skraćivanje intervala otkrivanja nije promjena učinkovitosti i ne dodaje kapacitet. Pod gubitkom paketa mijenja koliko se brzo kvar prepoznaje, što simptom može učiniti drukčijim bez da išta poboljša. Prvo zabilježite stvarno vrijeme kvara, pa odlučite je li tolerancija pogrešna za vezu koju doista imate.

Osvježavanja NAT preslikavanja pripadaju istoj kategoriji. Održavaju prevedenu rutu upotrebljivom i nisu dokaz da udaljena aplikacija radi.

Potpuna politika oporavka kaže što klijent treba učiniti kada se partner proglasi mrtvim: ponovno pokrenuti, zatvoriti ili zadržati, i što ostali promet smije raditi dok se to događa. Bez toga se isti incident svako tromjesečje iznova dijagnosticira od nule.