Balasan DPD membuktikan peer IKE hidup, bukan bahwa data Anda mengalir
Balasan keaktifan, notifikasi padding, dan selector yang menyempit menjelaskan tiga hal berbeda. Bacalah secara terpisah sebelum menyalahkan salah satunya atas kemacetan.
Log IPsec dapat menampilkan balasan keaktifan sementara aplikasi di depannya macet, dan kedua fakta bisa benar pada saat yang sama. Balasan DPD memastikan bahwa pemrosesan IKE peer menjawab pada saat itu; ia tidak mengatakan apa pun tentang apakah child SA membawa paket yang Anda pedulikan. Memperlakukan setiap peringatan di dekat gangguan sebagai penyebabnya adalah cara masalah selector didiagnosis sebagai bug protokol. Ada tiga pengamatan yang paling sering tertukar, dan ketiganya menjawab tiga pertanyaan berbeda. Bacalah berdasarkan keterkaitan dan tujuan sebelum membacanya berdasarkan stempel waktu.
Apa yang dibuktikan setiap pengamatan
Tabel memisahkan apa yang ditetapkan setiap pengamatan dari apa yang hanya menyertainya.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Tidak satu pun dari ketiganya merupakan kesalahan dengan sendirinya. Masing-masing baru menjadi menarik di samping aliran yang Anda debug, dan baris yang tidak dapat dikaitkan dengan aliran tertentu adalah konteks, bukan bukti.
Keaktifan bukan kesehatan data
DPD berjalan sebagai pertukaran INFORMATIONAL, percakapan bidang kendali antar daemon IKE. Balasan membuktikan bahwa proses IKE peer dapat dijangkau dan bersedia menjawab, dan timeout membuktikan bahwa tidak demikian. Tidak ada hasil yang menguji child SA, selector, jalur penerusan, atau balasan aplikasi, jadi DPD yang sehat di samping transfer yang macet adalah gambaran yang koheren, bukan kontradiksi.
Itulah sebabnya baris keaktifan adalah bagian paling tidak berguna dari tiket bidang data, seberapa meyakinkan pun tampilannya di bagian atas log.
Notifikasi padding adalah pernyataan tentang padding
Padding TFC adalah baris yang paling sering dibaca berlebihan dalam log ini. Ia mengatakan bahwa padding kerahasiaan aliran lalu lintas tidak akan diterima untuk child SA itu, yang merupakan pernyataan tentang fitur padding opsional dan bukan penolakan terhadap perlindungan ESP. Menemukannya di dekat kegagalan biasanya kebetulan karena kelimpahan kata, dan menyalakan atau mematikan padding tidak mengubah apa pun pada cakupan selector.
Spesifikasi IKEv2 mendefinisikan baik notifikasi maupun negosiasi selector, dan label peringatan suatu implementasi tidak menggantikan makna protokol dalam kedua kasus tersebut.
Penyempitan lebih sunyi dan lebih mungkin penting
Responder dapat menerima subset dari selector yang ditawarkan, dan kumpulan yang diterima dapat dicetak dalam beberapa entri, satu berkualifikasi port dan yang lain mencakup semua port. Membaca hanya baris pertama yang berkualifikasi port meremehkan apa yang diterima; membaca hanya baris lebar melebih-lebihkannya. Bandingkan proposal yang dicetak dengan kebijakan yang terpasang, karena proposal adalah apa yang dikatakan para peer dan kebijakan adalah apa yang akan dicocokkan oleh kernel. Ketika keduanya tidak sesuai, terowongan ada dan lalu lintasnya tidak, yang merupakan keluhan intermiten klasik. Balikkan perspektif lokal dan jarak jauh saat membandingkan peer, karena lokal masing-masing pihak adalah jarak jauh pihak lain.
Entri khusus host dengan pembatasan port layak dibaca dua kali, karena entri itulah yang mengecualikan ICMP atau port kedua sementara ping ke gateway tetap berfungsi.
Buat satu catatan untuk aliran yang gagal
Catat sumber, tujuan, keluarga alamat, protokol, dan port seperti yang terlihat pada keputusan perlindungan, termasuk penerjemahan yang disengaja. Itulah nilai yang harus cocok dengan selector, dan itu juga nilai yang orang ketik ulang dari ingatan ketika tiket sampai ke tangan ketiga.
Kemudian identifikasi child SA dan penghitung arahnya: swanctl --list-sas memberikan ringkasan asosiasi pada host strongSwan, dan ip -s xfrm state memberikan penghitungnya. Bacalah setelah permintaan yang diizinkan baru, bukan saat sistem menganggur. Tidak ada kenaikan keluar yang menunjuk ke pemilihan atau jalur lokal; keluar tanpa masuk yang sesuai menunjuk ke peer, penerusannya, atau balasannya.
Pertukaran aplikasi yang selesai mengungguli salah satu penghitung, itulah sebabnya pengujian harus berakhir di aplikasi, bukan di indikator terowongan.
Pilih koreksinya setelah itu
Hanya setelah catatan itu ada, ada koreksi yang bisa dipilih: selector yang diterima, rute, penyaringan, implementasi peer, atau batas yang kini Anda tunjukkan. Mengatur ulang peer mengubah beberapa keadaan sekaligus dan sering memulihkan lalu lintas tanpa menjelaskan mana yang salah, sehingga gangguannya kembali. Jauhkan dump status kernel dari tiket juga, karena dapat berisi kunci dan ringkasan sempit sudah cukup bagi siapa pun yang perlu membantu.
Ketika catatan bertentangan dengan teori pertama Anda, percayailah catatan itu dan tulis ulang teorinya; kebiasaan itu bernilai lebih daripada satu baris log mana pun yang dibahas di sini.