A DPD-válaszok azt bizonyítják, hogy az IKE-partner él, nem azt, hogy az adataid folynak
Az életjel-válaszok, egy padding-értesítés és a szűkített szelektorok három különböző dolgot írnak le. Olvasd őket külön, mielőtt egyiket a leállás okának neveznéd.
Az IPsec-naplók mutathatnak életjel-válaszokat, miközben az előttük lévő alkalmazás megakad, és mindkét tény egyszerre igaz lehet. Egy DPD-válasz igazolja, hogy a partner IKE-feldolgozása abban a pillanatban válaszolt; semmit nem mond arról, hogy a gyermek SA szállítja-e azt a csomagot, amely fontos neked. Minden kimaradás közeli figyelmeztetést annak okaként kezelni az az út, amelyen egy szelektorprobléma protokollhibaként diagnosztizálódik. Három megfigyelést kevernek össze leggyakrabban, és ezek három különböző kérdésre válaszolnak. Kapcsolat és cél szerint olvasd őket, mielőtt időbélyeg szerint olvasnád.
Mit bizonyít az egyes megfigyelések
A táblázat elválasztja, mit állapít meg az egyes megfigyelés attól, amit csak kísér.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Egyik sem hiba önmagában. Mindegyik csak a hibakeresett folyamat mellett válik érdekessé, és az a sor, amely nem köthető konkrét folyamathoz, kontextus, nem bizonyíték.
Az életjel nem adategészség
A DPD INFORMATIONAL csereként fut, vezérsík-beszélgetés az IKE-démonok között. Egy válasz igazolja, hogy a partner IKE-folyamata elérhető és hajlandó válaszolni, az időtúllépés pedig igazolja, hogy nem. Egyik eredmény sem vizsgálja a gyermek SA-t, a szelektorokat, a továbbítási útvonalat vagy az alkalmazás válaszát, ezért a megakadt átvitel melletti egészséges DPD koherens kép, nem ellentmondás.
Ezért az életjel-sorok az adatsík-jegy legkevésbé hasznos része, bármennyire megnyugtatónak tűnnek is a napló tetején.
A padding-értesítés a paddingről szóló állítás
A TFC-padding a leginkább túlolvasott sor ezekben a naplókban. Azt mondja, hogy a forgalomfolyam-bizalmassági padding nem lesz elfogadva ahhoz a gyermek SA-hoz, ami egy opcionális paddingfunkcióról szóló állítás, nem az ESP-védelem elutasítása. Hibához közel találni általában a bőbeszédűség véletlene, és a padding be- vagy kikapcsolása semmit nem változtat a szelektorok lefedettségén.
Az IKEv2-specifikáció meghatározza az értesítést és a szelektor-tárgyalást is, és egy implementáció figyelmeztető címkéje egyik esetben sem helyettesíti a protokoll jelentését.
A szűkítés halkabb és valószínűbben fontos
A válaszadó elfogadhatja a felajánlott szelektorok egy részhalmazát, és az elfogadott halmaz több bejegyzésben is kiírható, az egyik port szerint minősített, a másik minden portot lefed. Csak az első port szerint minősített sor olvasása alábecsüli az elfogadottat; csak a széles sor olvasása túlbecsüli. Hasonlítsd össze a kiírt javaslatot a telepített házirenddel, mert a javaslat az, amit a partnerek mondtak, a házirend pedig az, amihez a kernel illeszkedni fog. Amikor eltérnek, az alagút létezik, a forgalom nem, és ez a klasszikus időszakos panasz. Fordítsd meg a helyi és a távoli nézőpontot a partnerek összehasonlításakor, mert mindkét oldal helyije a másik távolija.
A portkorlátozással rendelkező, gazdagép-specifikus bejegyzéseket érdemes kétszer elolvasni, mert ezek zárják ki az ICMP-t vagy egy második portot, miközben az átjáró felé irányuló ping továbbra is működik.
Készíts egy rekordot a hibás folyamathoz
Rögzítsd a forrást, célt, címcsaládot, protokollt és portot úgy, ahogy a védelmi döntésnél látszanak, beleértve minden szándékos fordítást is. Ezek azok az értékek, amelyeknek szelektorhoz kell illeszkedniük, és ezek azok az értékek is, amelyeket az emberek fejből újra begépelnek, amikor a jegy egy harmadik kézpárhoz ér.
Ezután azonosítsd a gyermek SA-t és irányonkénti számlálóit: a swanctl --list-sas az egyesítés összefoglalóját adja egy strongSwan-gazdagépen, a ip -s xfrm state pedig a számlálókat. Friss engedélyezett kérés után olvasd őket, ne a rendszer tétlensége közben. A kimenő forgalom növekedésének hiánya a kiválasztásra vagy a helyi útvonalra utal; a megfelelő bejövő nélküli kimenő a partnerre, annak továbbítására vagy válaszaira utal.
Egy befejezett alkalmazáscsere felülmúl bármelyik számlálót, ezért a tesztnek az alkalmazásnál kell végződnie, nem az alagútjelzőnél.
Ezután válaszd ki a javítást
Csak akkor van választható javítás, ha ez a rekord létezik: elfogadott szelektorok, útvonal, szűrés, partnerimplementáció vagy egy határ, amelyet most bizonyítottál. A partner visszaállítása egyszerre több állapotot változtat meg, és gyakran helyreállítja a forgalmat anélkül, hogy megmagyarázná, melyik volt hibás, ezért a kimaradás visszatér. Tartsd a kernelállapot-dumpokat a jegyeken kívül, mert kulcsokat tartalmazhatnak, és a szűk összefoglaló elegendő mindenkinek, akinek segítenie kell.
Amikor a rekord ellentmond az első elméletednek, higgy a rekordnak, és írd újra az elméletet; ez a szokás többet ér bármelyik itt tárgyalt naplósornál.