Gagnagrunnsfyrirspurn hangir yfir IPsec: endurröðun UDP eða TCP?

Fyrirspurn sem hangir eftir TCP-handshaki er ekki leiðarvalkvandamál. Leiðarvillur láta handshakið mistakast, svo seta sem kemst á og þagnar svo bendir inn í slóðina: skoðun, MTU eða hvernig UDP-pakkar göngunnar berast. Ákvörðunin fyrir þér er hvort laga á þá slóð eða færa gönguna yfir á TCP. Þrjú skilyrði ráða því, og ekkert þeirra snýst um gagnagrunninn.

Flokkaðu stöðvunina áður en þú kennir göngunni um

Fjórar niðurstöður líta eins út fyrir notanda og þýða gjörólíka hluti fyrir verkfræðing.

Aðeins síðustu tvær línurnar réttlæta tíma í göngunni. Hafnað tenging yfir VPN er venjulega gagnagrunnurinn sem hlustar aðeins á loopback, sem er hlustandavandamál, og tímamörk fyrir handshakið eru sía eða leið. Hvorugt batnar við að breyta umbúðunum.

Skrifaðu flokkunina í miðann fyrst. Það er ódýrasta skrefið og fjarlægir stærstan hluta leitarplássins.

Þrjú skilyrði sem ráða UDP gegn TCP

Umbúin IPsec-umferð fer yfir UDP, og UDP gefur slóðinni frelsi til að endurraða og sleppa án þess að segja neinum. Þegar endurröðun þrýstir pökkum út fyrir endurspilunarglugga göngunnar eru þeir látnir falla í kyrrþey og innri TCP-setan bíður einfaldlega. Það er aðferðin að baki handshaki sem tekst og fyrirspurn sem kemur aldrei aftur.

Að laga slóðina eða fara aftur í TCP veltur á þremur hlutum. Í fyrsta lagi, er raunverulegt pakkatap á slóðinni eða aðeins endurröðun? Í öðru lagi, geturðu breytt því hvar skoðunin fer fram, eða undanskilið þessa göngu frá einingunni sem endurraðar? Í þriðja lagi, er álagið viðkvæmt fyrir stöðvunarmynstri, til dæmis margar margfaldar setur sem deila einni tengingu?

Ef fyrsta svarið er tap og annað nei,er TCP á 443 hagnýtur varakostur. Ef annað svarið er já, lagaðu slóðina og haltu UDP.

Lestu skrá eldveggsins, ekki villu forritsins

Forritið tilkynnir tímamörk, sem segir þér ekkert um orsökina. Eigin log eldveggsins er staðurinn þar sem sleppingin eða lokunin birtist, svo síaðu eftir vistföngum gagnagrunsins og forritsins og leitaðu að sleppingum jafnt sem samþykkjum.Varnir gegn ógnum geta sleppt pökkum án þess að búa til villu á forritastigi, og það er einmitt lögun fyrirspurnar sem hangir. Þögn í logginu er líka gögn: hún bendir á eitthvað sem skráir ekki, eins og endurröðun.

Athugaðu klasann líka. Rangt stilltur klasi getur haldið setu í stöðutöflunni á einum meðlim á meðan pakkarnir fara slóð annars meðlims, svo svör berast þangað sem engin staða er. Slíkar stöðvanir virðast tilviljunarkenndar og fylgja ekki álagi.

Berðu saman báða enda áður en þú breytir einhverju, og berðu saman komuröð frekar en pakkafjölda:

tcpdump -ni any udp port 4500 -w /tmp/encap.pcap
tcpdump -ni any tcp port 5432 -w /tmp/inner.pcap

Hvað TCP á 443 kostar þig í raun

Að færa gönguna yfir á TCP fjarlægir einkenni endurröðunar, því milliboxið sér nú raðaða strauma. Það býr líka til TCP yfir TCP. Ytri tengingin sendir aftur það sem innri tengingin hefur þegar sent aftur, og eitt tap getur stöðvað allar margfaldar setur í einu. Á hreinni slóð er það ósýnilegt. Á slóð með tapi er lækningin verri en einkennin.

Skiptin eru ásættanleg þegar valkosturinn er engin nettenging, og ætti að skrá sem undantekningu með eiganda frekar en að taka henni sem venjulegri.

Skráðu flutninginn, portið, sýnisfyrirspurn og mælda niðurstöðu, auk dagsetningar. Án þeirrar skráningar endurtekur næsti verkfræðing tilraunina, og undantekningin verður hljóðlega að arkitektúrnum.

Haltu ákvörðuninni endurskoðanlegri

Slóðargreining eldist illa. Skipt er um milliboxið, stillingar einingarinnar breytast, tengingin er uppfærð, og ástæðan fyrir TCP á 443 hverfur á meðan stillingin stendur. Settu endurskoðunardagsetningu á undantekninguna og nefndu skilyrðið sem myndi leyfa þér að snúa aftur til UDP.

Prófaðu báða flutningana með lítilli fyrirspurn og með stóru niðurstöðusetti. Endurröðun birtist sem stærðarháðar stöðvanir, en hlustandagalli stöðvar báðar stærðir jafnt.