Az IPsec gyermek SA fut, de a csomagszámlálók nullán maradnak

Felemelte az alagutat, a kulcsfrissítési időzítő visszaszámol, és mindkét irány még mindig nulla csomagot mutat. Ez a két szám nem azt jelenti, hogy a partner elutasította az alagutat: egy telepített CHILD SA tétlen számlálókkal egy olyan társulás normál állapota, amelyhez még semmi nem illeszkedett. A feladat bebizonyítani, hogy egy csomagnak illeszkednie kellett volna, majd megkeresni azt a pontot, ahol elhagyta a szelektorok által leírt útvonalat. Tegye ezt egyszer, sorrendben, és tartsa a kérést azonosnak a futások között.

Mit bizonyít valójában a nulla számláló

A CHILD SA egy szelektorpár plusz azok a kulcsok és SPI-k, amelyek az ezekbe a tartományokba eső forgalmat titkosítják. Telepítése csak azt jelenti, hogy mindkét fél megegyezett ezekben a tartományokban és a származtatott kulcsokban; a kernel órákig tartja, anélkül hogy egyetlen csomag megérkezne. A kérdés tehát soha nem az, hogy létezik-e az alagút, hanem hogy a tesztje bármely csomagja beleesett-e a két fél által egyeztetett tartományokba. Ha nem, a számlálók nullán maradnak, és a társulás használatlanul lejár az élettartama végén.

Ez a megkülönböztetés megváltoztatja, mit vizsgál először. Az elutasított javaslat, a hitelesítési hiba vagy a haldokló IKE SA mind a naplóban vagy az SA-listában jelenik meg, nem csendes nullaként. Az az alagút, amely tisztán tárgyal, majd tétlen marad, inkább az illesztésre, az útvonalválasztásra vagy a tesztforgalom eredetére mutat.

Küldjön olyan folyamot, amelyet küldés előtt le tud írni

Válasszon egy célt a védett alhálózaton belül, és nyisson rá új kapcsolatot; egy órával ezelőtt betöltött oldal a gyorsítótárból is kiszolgálható, a gyorsítótárazott válasz pedig soha nem érinti az alagutat. Ezután írjon fel négy értéket, amíg a kérés még hipotetikus: az alkalmazás által kötni kívánt forrásoldali cím, a cél, a címcsalád, valamint a figyelt gyermek neve vagy szelektorpárja. Ez a feljegyzés teszi a lapos számlálóból ellenőrizhető állítást.

A forrásoldali cím az az érték, amelyet az emberek kihagynak, és ez az, amely leggyakrabban elrontja a tesztet. Egy laptop vezetékes címmel, Wi-Fi-címmel és alagútcímmel az útvonalkereséstől függően bármelyiket kötheti, és csak egy lehet az egyeztetett tartományon belül. Használjon olyan eszközt, amely lehetővé teszi a forrás rögzítését, például ping -I 10.1.0.5 10.2.0.9 vagy curl --interface 10.1.0.5, hogy a csomag ne válasszon csendben más címet. Amikor a rögzített futás mozgatja a számlálókat, a nem rögzített pedig nem, útvonalválasztási problémát talált, nem IPsec-problémát.

Mely számokat olvassa, és hol laknak

Linuxon a ip -s xfrm state minden társulást egy lifetime current: sorral együtt ír ki, amelynek bájt- és csomagösszege csak ehhez az SA-hoz tartozik, majd egy stats: sor következik az újrajátszási és hibaszámlálókhoz. Egy strongSwan-partneren a swanctl --list-sas minden telepített gyermekhez egy in sort és egy out sort mutat, mindkettő bájt- és csomagszámmal végződik; a régebbi stroke-eszközök ugyanezt a párt bytes_i és bytes_o néven nevezik. Olvassa a két irányt külön, mert az az irány, amely lapos maradt, a lelet. Az összeadásuk pontosan azt az aszimmetriát rejti el, amelyet keres.

Mindkét nézet társulásonkénti, tehát egy kulcsfrissítés friss SPI-párt telepít, és az alapvonala nullára áll vissza anélkül, hogy bármi elromlana. Jegyezze fel azt az SPI-t, amelyet figyel, mielőtt a frissítési időzítő elsül, különben egy új SA-t hasonlít össze egy régi számmal. Ha a kimenő nő, miközben a bejövő lapos marad, a szelektor illeszkedett, és a válasz soha nem jött vissza, ami a vizsgálatot a partner továbbítására és saját házirendjére tereli. A strongSwan IKEv2-konfigurációs dokumentációja lefedi a gyermek SA életciklusát és a számok mögötti frissítési időzítést.

A megfigyelési pont külön változó a csomag eredetétől. A hardveres kiszervezés növelheti a társulás számlálóit, miközben az interfészen végzett szoftveres rögzítés semmit sem mutat, mert a kiszervezett csomagok kihagyják azt a horgot, amelyen a rögzítés ül, és a bejövő irány ugyanígy eltérhet. Amikor a kettő nem egyezik, a számlálókkal válaszolja meg, hogy illeszkedett-e valami, a rögzítéssel pedig azt, hogy milyen volt a csomag.

Útvonal, szelektorok és ahol a csomag született

Hasonlítson össze három dolgot egymás mellett: az útvonalat, amelyet a kernel a céljához választ, a házirendet, amely a forgalmat az alagútba tereli, és a szelektorpárt, amelyet a gyermek egyeztetett. A ip route get 10.2.0.9 from 10.1.0.5 megnevezi azt az interfészt és forrást, amelyet a kernel használna, és ez gyakran nem az a pár, amelyet feltételezett. A ip xfrm policy a helyben telepített sablonokat és szelektorokat mutatja, míg a swanctl --list-sas azt, hogy miben egyezett meg a partner. Az a keresés, amely a fizikai interfészen kiirányítja a csomagot, soha nem éri el a házirendet, így a számlálók nem mozdulhatnak.

Az eltérések többféle formában jönnek, amelyek számlálóról nézve azonosnak tűnnek. Egy IPv4-szelektoron kívüli IPv6-cél, egy rossz alhálózatból származó forráscím és a gyermeknél szűkebb házirend mind ugyanazt a nullát adja. Először a legszűkebb okot javítsa, mert egy szelektor szélesítése csak egy szám mozgatásáért megváltoztatja, mit véd az alagút.

Aztán ott van a csomag eredete, az a csapda, amelyet egy átjáró a saját üzemeltetőjének állít. Az átjáró által maga előállított forgalmat a kimenő házirendhez illesztik, míg az ügyfél nevében továbbított csomagot a továbbítási házirendhez, így a dobozról indított ping olyan útvonalon is sikerülhet, amelyet egyetlen ügyfél sem vesz igénybe.

Egy visszafordítható változtatás és egy felülvizsgálatot kiálló jelentés

Változtasson egyetlen elemet, ismételje meg az azonos kérést, és olvassa ugyanazokat a számlálókat. Az összes tűzfalszabály törlése vagy az összes szelektor egyszerre történő cseréje elmozdít egy számot, és megsemmisíti a bizonyítékot, amely megmondta, miért. Ha a második futás még mindig nullát mutat, kizárt egy hipotézist ahelyett, hogy elpazarolta volna a délutánt.

Írja le a leletet olyan formában, amelyet más is meg tud ismételni: a gyermek neve, az elfogadott tartományok, a rögzített forrás, a tesztelt cél, a nullán maradt irány és az olvasott SPI. Ez a mondat választja el az egy senki által nem használt társulást egy olyan távoli alkalmazástól, amely megkapta a forgalmat, és elutasította. Amikor a változtatás nem mozdította a számlálókat, állítsa vissza, és tartsa meg a feljegyzést; a következő ember ott kezdi, ahol ön abbahagyta. Az alagútban semmit nem kellett újjáépíteni mindehhez, és éppen ez az értelme az illesztés ellenőrzésének a konfiguráció megérintése előtt.