IPsec-ի զավակ SA-ն աշխատում է, բայց փաթեթների հաշվիչները մնում են զրո

Դուք բարձրացրեցիք թունելը, բանալիների թարմացման ժամաչափը հաշվում է ներքև, և երկու ուղղություններն էլ դեռ ցույց են տալիս զրո փաթեթ։ Այս երկու թվերը չեն ասում, որ գործընկերը մերժել է ձեր թունելը. տեղադրված CHILD SA-ն անգործուն հաշվիչներով սովորական վիճակ է այն միացման, որին դեռ ոչինչ չի համապատասխանել։ Խնդիրը ապացուցելն է, որ փաթեթը պետք է համապատասխաներ, ապա գտնել այն կետը, որտեղ այն լքել է ընտրիչների նկարագրած ուղին։ Արեք դա մեկ անգամ, հերթականությամբ, և պահեք հարցումը նույնական գործարկումների միջև։

Ինչ է իրականում ապացուցում զրո հաշվիչը

CHILD SA-ն ընտրիչների զույգ է գումարած այն բանալիները և SPI-ները, որոնք գաղտնագրում են այդ միջակայքերում ընկած երթևեկությունը։ Այն տեղադրելը նշանակում է միայն, որ երկու կողմերը համաձայնել են այդ միջակայքերի և ածանցյալ բանալիների շուրջ. միջուկը ժամերով կպահի այն՝ առանց մեկ փաթեթի ժամանման։ Ուստի հարցը երբեք այն չէ՝ կա՞ թունելը, այլ այն, թե արդյոք ձեր փորձարկման որևէ փաթեթ ընկել է երկու կողմերի պայմանավորված միջակայքերում։ Եթե ոչ, հաշվիչները մնում են զրո, և միացումը լրանում է անօգտագործված իր կյանքի վերջում։

Այս տարբերությունը փոխում է, թե ինչն եք առաջինը ստուգում։ Մերժված առաջարկը, նույնականացման ձախողումը կամ մահամերձ IKE SA-ն բոլորը հայտնվում են մատյանում կամ SA-ների ցանկում, ոչ որպես լուռ զրո։ Այն թունելը, որը մաքուր բանակցում է և հետո մնում անգործուն, փոխարենը մատնանշում է համապատասխանեցմանը, երթուղայնացմանը կամ փորձարկման երթևեկության ծագմանը։

Ուղարկեք հոսք, որը կարող եք նկարագրել ուղարկելուց առաջ

Ընտրեք նպատակակետ պաշտպանված ենթացանցում և նոր միացում բացեք դեպի այն. մեկ ժամ առաջ բեռնված էջը կարող է մատուցվել պահոցից, իսկ պահոցում պահված պատասխանը երբեք չի դիպչում թունելին։ Այնուհետև գրեք չորս արժեք, քանի դեռ հարցումը հիպոթետիկ է՝ աղբյուրի հասցեն, որը կկապի հավելվածը, նպատակակետը, հասցեների ընտանիքը և դիտարկվող զավակի անունը կամ ընտրիչների զույգը։ Այդ գրառումն է, որ հարթ հաշվիչը դարձնում է ստուգելի պնդում։

Աղբյուրի հասցեն այն արժեքն է, որը մարդիկ բաց են թողնում, և հենց այն է, որ ամենից հաճախ փչացնում է փորձարկումը։ Լարային հասցեով, Wi-Fi հասցեով և թունելի հասցեով դյուրակիր համակարգիչը կարող է կապել դրանցից ցանկացածը՝ կախված երթուղու որոնումից, և միայն մեկը կարող է լինել պայմանավորված միջակայքում։ Օգտագործեք գործիք, որը թույլ է տալիս ամրացնել աղբյուրը, օրինակ ping -I 10.1.0.5 10.2.0.9 կամ curl --interface 10.1.0.5, որպեսզի փաթեթը չկարողանա լուռ այլ հասցե ընտրել։ Երբ ամրացված գործարկումը շարժում է հաշվիչները, իսկ չամրացվածը՝ ոչ, դուք գտել եք երթուղայնության խնդիր, ոչ թե IPsec-ի։

Որ թվերը կարդալ, և որտեղ են դրանք ապրում

Linux-ում ip -s xfrm state տպում է յուրաքանչյուր միացում lifetime current: տողով, որի բայթերի և փաթեթների գումարը պատկանում է միայն այդ SA-ին, որին հաջորդում է stats: տողը վերարտադրման և սխալների հաշվիչների համար։ strongSwan գործընկերոջ մոտ swanctl --list-sas ցույց է տալիս մեկ in տող և մեկ out տող յուրաքանչյուր տեղադրված զավակի համար, և յուրաքանչյուրը ավարտվում է բայթերի և փաթեթների քանակով. ավելի հին stroke գործիքները նույն զույգն անվանում են bytes_i և bytes_o։ Կարդացեք երկու ուղղությունները առանձին, որովհետև հարթ մնացած ուղղությունն է հայտնաբերումը։ Դրանք միասին գումարելը թաքցնում է հենց այն ասիմետրիան, որը փնտրում եք։

Երկու տեսքերն էլ ըստ միացման են, ուստի բանալիների թարմացումը տեղադրում է նոր SPI զույգ, և ձեր բազային գիծը վերադառնում է զրոյի՝ առանց որևէ բանի կոտրվելու։ Գրեք այն SPI-ն, որը դիտարկում եք, մինչև թարմացման ժամաչափը կգործարկվի, այլապես նոր SA-ն կհամեմատեք հին թվի հետ։ Եթե ելքայինը աճում է, մինչ մուտքայինը մնում է հարթ, ընտրիչը համապատասխանել է, և պատասխանը երբեք չի վերադարձել, ինչը հետաքննությունը տեղափոխում է գործընկերոջ փոխանցմանը և նրա սեփական քաղաքականությանը։ strongSwan-ի IKEv2 կարգավորման փաստաթղթերը ընդգրկում են զավակ SA-ի կյանքի ցիկլը և այս թվերի հետևում գտնվող թարմացման ժամանակը։

Դիտարկման կետը առանձին փոփոխական է փաթեթի ծագումից։ Սարքաշարային բեռնաթափումը կարող է ավելացնել միացման հաշվիչները, մինչ ինտերֆեյսի վրա ծրագրային որսը ոչինչ չի ցույց տալիս, որովհետև բեռնաթափված փաթեթները շրջանցում են այն կեռիկը, որի վրա նստած է որսը, և մուտքայինը կարող է նույն կերպ շեղվել։ Երբ երկուսը չեն համընկնում, հաշվիչներով պատասխանեք՝ արդյոք ինչ-որ բան համապատասխանել է, և որսով՝ թե ինչպիսին էր փաթեթը։

Երթուղի, ընտրիչներ և որտեղ ծնվեց փաթեթը

Համեմատեք երեք բան կողք կողքի՝ այն երթուղին, որը միջուկն ընտրում է ձեր նպատակակետի համար, այն քաղաքականությունը, որը երթևեկությունը տանում է թունել, և ընտրիչների այն զույգը, որը բանակցել է զավակը։ ip route get 10.2.0.9 from 10.1.0.5 անվանում է ինտերֆեյսը և աղբյուրը, որոնք միջուկը կօգտագործեր, և դա հաճախ այն զույգը չէ, որը դուք ենթադրել էիք։ ip xfrm policy-ը ցույց է տալիս տեղում տեղադրված ձևանմուշներն ու ընտրիչները, մինչդեռ swanctl --list-sas-ը ցույց է տալիս, թե ինչի շուրջ համաձայնել է գործընկերը։ Այն որոնումը, որը փաթեթն ուղարկում է ֆիզիկական ինտերֆեյսից դուրս, ընդհանրապես չի հասնում քաղաքականությանը, ուստի հաշվիչները չեն կարող շարժվել։

Անհամապատասխանությունները գալիս են մի քանի ձևով, որոնք հաշվիչից նույնն են թվում։ IPv4 ընտրիչից դուրս IPv6 նպատակակետը, սխալ ենթացանցից աղբյուրի հասցեն և զավակից նեղ քաղաքականությունը բոլորը տալիս են նույն զրոն։ Առաջինը ուղղեք ամենանեղ պատճառը, որովհետև ընտրիչը լայնացնելը միայն թիվ տեղափոխելու համար փոխում է, թե ինչից է պաշտպանում թունելը։

Հետո գալիս է փաթեթի ծագումը՝ այն թակարդը, որ դարպասը լարում է իր իսկ օպերատորի համար։ Դարպասի ինքն արտադրած երթևեկությունը համեմատվում է ելքային քաղաքականության հետ, մինչդեռ հաճախորդի համար փոխանցված փաթեթը համեմատվում է փոխանցման քաղաքականության հետ, ուստի սարքից արված ping-ը կարող է հաջողվել մի ուղու վրա, որով ոչ մի հաճախորդ երբեք չի գնում։

Մեկ հետադարձելի փոփոխություն և վերանայմանը դիմացող հաշվետվություն

Փոխեք մեկ տարր, կրկնեք նույն հարցումը և կարդացեք նույն հաշվիչները։ Բոլոր հրապարակային կանոնների մաքրումը կամ բոլոր ընտրիչների միանգամից փոխարինումը կշարժի թիվ և կոչնչացնի այն ապացույցը, որն ասաց ձեզ ինչու։ Եթե երկրորդ գործարկումը դեռ զրո է ցույց տալիս, դուք վերացրել եք մեկ վարկած՝ կեսօրը վատնելու փոխարեն։

Գրեք հայտնաբերումը այնպիսի ձևով, որ ուրիշը կարողանա վերարտադրել. զավակի անունը, ընդունված միջակայքերը, ձեր ամրացրած աղբյուրը, փորձարկված նպատակակետը, զրոյի վրա մնացած ուղղությունը և ձեր կարդացած SPI-ն։ Այդ նախադասությունը բաժանում է ոչ ոքի չօգտագործված միացումը հեռավոր հավելվածից, որը ստացել է երթևեկությունը և մերժել այն։ Երբ փոփոխությունը հաշվիչները չի շարժել, հետ վերցրեք այն և պահեք գրառումը. հաջորդ մարդը սկսում է այնտեղ, որտեղ դուք կանգնեցիք։ Թունելում ոչինչ պետք չէր վերակառուցել այս ամենի համար, և հենց դա է կարգավորումը ձեռք տալուց առաջ համապատասխանեցումը ստուգելու իմաստը։