DPD պատասխանները ապացուցում են, որ IKE գործընկերը կենդանի է, ոչ թե այն, որ ձեր տվյալները հոսում են
Կենսունակության պատասխանները, լիցքավորման ծանուցումը և նեղացված ընտրիչները նկարագրում են երեք տարբեր բաներ: Կարդացեք դրանք առանձին, նախքան դրանցից մեկին կանգառի համար մեղադրելը:
IPsec մատյանները կարող են ցույց տալ կենսունակության պատասխաններ, մինչ դրանց դիմացի հավելվածը կանգ է առել, և երկու փաստերը կարող են միաժամանակ ճիշտ լինել: DPD պատասխանը հաստատում է, որ գործընկերոջ IKE մշակումը տվյալ պահին պատասխանել է. այն ոչինչ չի ասում այն մասին, թե արդյոք դուստր SA-ն կրում է այն փաթեթը, որը ձեզ համար կարևոր է: Յուրաքանչյուր նախազգուշացում խափանման մոտ դիտարկել որպես դրա պատճառ, այն ձևն է, որով ընտրիչի խնդիրը ախտորոշվում է որպես արձանագրության վրիպակ: Երեք դիտարկումներ ամենից հաճախ շփոթվում են, և դրանք պատասխանում են երեք տարբեր հարցերի: Կարդացեք դրանք ըստ կապի և նպատակի, նախքան ժամանակի դրոշմանիշով կարդալը:
Ինչ է ապացուցում յուրաքանչյուր դիտարկում
Աղյուսակը բաժանում է այն, ինչ յուրաքանչյուր դիտարկում հաստատում է, նրանից, ինչ այն պարզապես ուղեկցում է:
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Երեքից ոչ մեկն ինքնին սխալ չէ: Յուրաքանչյուրը հետաքրքիր է դառնում միայն ձեր վերացնող հոսքի կողքին, և այն տողը, որը հնարավոր չէ կապել կոնկրետ հոսքի հետ, համատեքստ է, ոչ թե ապացույց:
Կենսունակությունը տվյալների առողջություն չէ
DPD-ն աշխատում է որպես INFORMATIONAL փոխանակում՝ կառավարման հարթության զրույց IKE դեմոնների միջև: Պատասխանը ապացուցում է, որ գործընկերոջ IKE գործընթացը հասանելի է և պատրաստ է պատասխանել, իսկ ժամկետի ավարտը ապացուցում է, որ այդպես չէ: Ոչ մի արդյունք չի ստուգում դուստր SA-ն, ընտրիչները, փոխանցման ուղին կամ հավելվածի պատասխանը, ուստի կանգնած փոխանցման կողքին առողջ DPD-ն համահունչ պատկեր է, ոչ հակասություն:
Այդ պատճառով կենսունակության տողերը տվյալների հարթության տոմսի ամենափոքր օգտակար մասն են, որքան էլ հանգստացնող թվան մատյանի վերևում:
Լիցքավորման ծանուցումը հայտարարություն է լիցքավորման մասին
TFC լիցքավորումը այս մատյաններում ամենաշատ գերագնահատված տողն է: Այն ասում է, որ երթևեկության հոսքի գաղտնիության լիցքավորումը չի ընդունվի այդ դուստր SA-ի համար, ինչը հայտարարություն է ըստ ցանկության լիցքավորման հատկության մասին, այլ ոչ թե ESP պաշտպանության մերժում: Այն խափանման մոտ գտնելը սովորաբար բառաշատության պատահականություն է, և լիցքավորումը միացնելը կամ անջատելը ոչինչ չի փոխում ընտրիչների ծածկույթում:
IKEv2 սպեցիֆիկացիան սահմանում է և՛ ծանուցումը, և՛ ընտրիչների բանակցությունը, և իրականացման նախազգուշացման պիտակը ոչ մի դեպքում չի փոխարինում արձանագրության իմաստը:
Նեղացումը ավելի հանգիստ է և ավելի հավանական է, որ կարևոր լինի
Պատասխանողը կարող է ընդունել առաջարկված ընտրիչների ենթաբազմություն, և ընդունված բազմությունը կարող է տպվել մի քանի գրառումներով՝ մեկը պորտով որակավորված, մյուսը՝ ընդգրկելով բոլոր պորտերը: Միայն առաջին պորտով որակավորված տողը կարդալը թերագնահատում է ընդունվածը. միայն լայն տողը կարդալը գերագնահատում է այն: Համեմատեք տպված առաջարկը տեղադրված քաղաքականության հետ, քանի որ առաջարկն այն է, ինչ ասել են գործընկերները, իսկ քաղաքականությունն այն է, ինչին կհամապատասխանի միջուկը: Երբ դրանք չեն համընկնում, թունելը գոյություն ունի, իսկ երթևեկությունը՝ ոչ, ինչը դասական ընդհատվող բողոքն է: Հակադարձեք տեղական և հեռավոր տեսանկյունը գործընկերներին համեմատելիս, քանի որ յուրաքանչյուր կողմի տեղականը մյուսի հեռավորն է:
Պորտի սահմանափակմամբ հոսթին հատուկ գրառումները արժե երկու անգամ կարդալ, քանի որ հենց դրանք են բացառում ICMP-ն կամ երկրորդ պորտը՝ թողնելով դարպասին ուղղված ping-ը աշխատող:
Ստեղծեք մեկ գրառում ձախողվող հոսքի համար
Գրանցեք աղբյուրը, նպատակը, հասցեների ընտանիքը, արձանագրությունը և պորտը այնպես, ինչպես դրանք երևում են պաշտպանության որոշման պահին, ներառյալ ցանկացած դիտավորյալ թարգմանություն: Դրանք այն արժեքներն են, որոնք պետք է համապատասխանեն ընտրիչին, և դրանք նաև այն արժեքներն են, որոնք մարդիկ հիշողությունից նորից մուտքագրում են, երբ տոմսը հասնում է ձեռքերի երրորդ զույգին:
Այնուհետև բացահայտեք դուստր SA-ն և դրա ուղղորդված հաշվիչները: swanctl --list-sas-ը տալիս է միավորման ամփոփումը strongSwan հոսթում, իսկ ip -s xfrm state-ը՝ հաշվիչները: Կարդացեք դրանք թարմ թույլատրված հարցումից հետո, այլ ոչ թե երբ համակարգը պարապ է: Ելքային երթևեկության աճի բացակայությունը մատնանշում է ընտրությունը կամ տեղական ուղին. ելքայինը՝ առանց համապատասխան մուտքայինի, մատնանշում է գործընկերոջը, նրա փոխանցմանը կամ նրա պատասխաններին:
Ավարտված հավելվածային փոխանակումը գերազանցում է ցանկացած հաշվիչի, ուստի փորձարկումը պետք է ավարտվի հավելվածում, այլ ոչ թե թունելի ցուցիչում:
Ընտրեք ուղղումը դրանից հետո
Միայն այն բանից հետո, երբ այդ գրառումը գոյություն ունի, կա ընտրելու ուղղում՝ ընդունված ընտրիչներ, երթուղի, զտում, գործընկերոջ իրականացում կամ սահման, որը դուք հիմա ցույց տվեցիք: Գործընկերոջ վերակայումը փոխում է միանգամից մի քանի վիճակ և հաճախ վերականգնում է երթևեկությունը՝ չբացատրելով, թե որն էր սխալ, ուստի խափանումը վերադառնում է: Միջուկի վիճակի դեմփերը տոմսերից դուրս պահեք, քանի որ դրանք կարող են բանալիներ պարունակել, և նեղ ամփոփումը բավարար է յուրաքանչյուրին, ով պետք է օգնի:
Երբ գրառումը հակասում է ձեր առաջին տեսությանը, հավատացեք գրառմանը և վերաշարադրեք տեսությունը. այդ սովորությունը արժե ավելի, քան այստեղ քննարկված ցանկացած մեկ մատյանի տող: