IKEv2 մեռած զուգընկերոջ հայտնաբերումը չի փորձարկում ձեր հավելվածը

IKEv2-ի կենդանության ստուգումը մեկ հարց է տալիս՝ արդյոք մյուս զուգընկերը դեռ պատասխանում է պաշտպանված կառավարման հարաբերության վրա։ Այն չի չափում՝ արդյոք ներքին հավելվածը առողջ է, արդյոք դարպասի հետևում երթուղի կա, կամ արդյոք զննարկումը արագ է թվում։ Ստուգումը կարող է անցնել, մինչ թունելի հետևում գտնվող ամեն օգտակար բան ձախողվում է։

Նախ առանձին կարդացեք ապացույցի երկու տեսակները, հետո միայն փոխեք ժամաչափը։

Ինչ է իրականում հարցնում կենդանության ստուգումը

Կենդանության փոխանակումն ուղարկվում է հաստատված IKE անվտանգության միավորության ներսում և պատասխան է սպասում սահմանված պատուհանում։ Հաջողությունը նշանակում է, որ զուգընկերոջ IKE իրականացումը դեռ այնտեղ է և դեռ պատրաստ է խոսել։ Այն ոչինչ չի ասում տրաֆիկը կրող զավակ անվտանգության միավորությունների մասին, ոչինչ՝ դարպասից այն կողմ երթուղավորման մասին, և ոչինչ՝ այն ծառայության մասին, որի համար բացել եք թունելը։ Դրանք երեք առանձին հարցեր են՝ երեք առանձին ձախողման եղանակով։

Այդ տարբերությունն է որոշում, թե ուր նայել, երբ սեսիան լռում է։ Զուգընկերը, որը շարունակում է պատասխանել, մինչ տվյալների ուղին կոտրված է, մատնանշում է քաղաքականությանը, երթուղավորմանը կամ ներքևի ծառայությանը։ Զուգընկերը, որը դադարում է պատասխանել, մատնանշում է հասանելիությանը կամ հեռավոր ծայրի սեփական վիճակին։

Կարդացեք անվտանգության միավորությունները զննարկիչից առաջ

Կառավարման վիճակը և տվյալների վիճակը ցուցակվում են առանձին, երբ հարցնում եք դեմոնին, և հաշվիչները ասում են՝ արդյոք ընդհանրապես փորձ է եղել։ Երբեք չտեղադրված զավակ միավորությունը բոլորովին նման չէ այն մեկին, որը տեղադրվել է, ապա դադարել է փաթեթներ անցկացնել, թեև երկուսն էլ նույն օգտվողի բողոքն են առաջացնում։

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

Տոմսում բառացի գրանցեք վիճակների անունները՝ բողոքի պահին եղած հաշվիչների հետ միասին։ Թունելը ցած է նման նկարագրությունը թաքցնում է, թե երկու միավորություններից որն ավարտվեց, և դա սովորաբար միակ փաստն է, որ արժե պահել։

Երթուղու ձախողումը տեսքով նույնն է, ինչ մեռած զուգընկերը

Դարպասը կարող է պատասխանել կառավարման փոխանակումներին, մինչ մասնավոր սերվերը անցանց է, փոխանցված երթուղին բացակայում է, կամ ներքին անվանական լուծումը լիովին ձախողվում է։ Հաճախորդի կողմից դրանցից յուրաքանչյուրը երևում է որպես աշխատող սեսիա և չաշխատող նպատակակետ։ Հետադարձ ուղին ստուգեք նույնքան ուշադիր, որքան առաջադարձը, որովհետև հեռավոր կողմի ասիմետրիկ երթուղավորումը լռություն է առաջացնում միայն մեկ ուղղությամբ։

Փորձարկեք նախատեսված հավելվածը ուղղակիորեն և նշեք այն հասցեն, որը նա փորձել է, փոխանակ ստուգելու՝ արդյոք թունելը բարձր է։ Դարպասին ping-ը ապացուցում է, որ դարպասը պատասխանում է, այն երբեք չի ապացուցել, որ հավելվածը պատասխանեց։ Գրանցեք ճշգրիտ հասցեն, որը հավելվածը փորձել է։ Այդ տողը հետագայում նեղացնում է որոնումը, և դա այն միակ փաստն է, որը տոմսը սովորաբար բաց է թողնում։

Ժամաչափերը հանեք ախտորոշումից

Հայտնաբերման միջակայքի կրճատումը կատարողականի փոփոխություն չէ և հզորություն չի ավելացնում։ Փաթեթների կորստի դեպքում այն փոխում է, թե որքան արագ է ձախողումը ճանաչվում, ինչը կարող է ախտանիշը այլ տեսք տալ՝ առանց որևէ բան լավացնելու։ Սկզբում գրանցեք ձախողման իրական ժամանակը, ապա որոշեք՝ արդյոք հանդուրժողականությունը սխալ է ձեր իրական ունեցած կապի համար։

NAT քարտեզագրման թարմացումները նույն կատեգորիային են պատկանում։ Դրանք թարգմանված ուղին պիտանի են պահում և ապացույց չեն, որ հեռավոր հավելվածը աշխատում է։

Ամբողջական վերականգնման քաղաքականությունը ասում է, թե ինչ պետք է անի հաճախորդը, երբ զուգընկերը հայտարարվում է մեռած՝ վերագործարկել, փակել կամ պահել, և ինչ կարող է անել մյուս տրաֆիկը այդ ընթացքում։ Առանց դրա նույն միջադեպը ամեն եռամսյակ նորից զրոյից ախտորոշվում է։