Undir-SA IPsec er uppi en pakkateljararnir halda áfram að vera núll

Þú komst rásinni upp, endurnýjunartímamælirinn telur niður og báðar áttir sýna enn núll pakka. Þetta tvennd talnanna segir ekki að jafninginn hafi hafnað rásinni þinni: uppsett CHILD SA með aðgerðarlausa teljara er eðlilegt ástand samtengingar sem ekkert hefur enn passað við. Verkið er að sanna að pakki hefði átt að passa og finna síðan punktinn þar sem hann fór af brautinni sem valararnir lýsa. Gerðu það einu sinni, í röð, og hafðu beiðnina óbreytta milli keyrslna.

Hvað núllteljari sannar í raun

CHILD SA er par af valurum auk lyklanna og SPI sem dulkóða umferð sem fellur innan þessara bila. Að setja hana upp þýðir aðeins að báðir aðilar sömdu um bilin og afleiddu lyklana; kjarninn heldur henni í klukkustundir án þess að einn pakki berist. Spurningin er því aldrei hvort rásin sé til, heldur hvort einhver pakki úr prófun þinni hafi fallið innan bilanna sem aðilarnir sömdu um. Ef ekki, halda teljararnir áfram núlli og samtengingin rennur út ónotuð í lok líftíma síns.

Þessi greinarmunur breytir því hvað þú skoðar fyrst. Hafnað tillaga, misheppnuð auðkenning eða deyjandi IKE SA birtast allt í annálnum eða í SA-listum, ekki sem hljóðlaust núll. Rás sem semur hreint og stendur síðan aðgerðarlaus bendir frekar á samsvörun, leiðarval eða uppruna prófunarumferðar.

Sendu flæði sem þú getur lýst áður en þú sendir það

Veldu ákvörðunarstað innan varða undirnetsins og opnaðu nýja tengingu til hans; síða sem þú hlóðst fyrir klukkustund getur verið þjónuð úr skyndiminni og svar úr skyndiminni snertir aldrei rásina. Skrifaðu síðan fjögur gildi meðan beiðnin er enn skilyrt: upprunafangið sem forritið mun binda, ákvörðunarstaðurinn, fangafjölskyldan og nafn eða par valara barnsins sem þú fylgist með. Þessi skráning er það sem breytir flötum teljara í prófanlega fullyrðingu.

Upprunafangið er gildið sem fólk sleppir og það er það sem brýtur prófunina oftast. Fartölva með snúrufangi, Wi-Fi fangi og rásarfangi getur bundið hvaða sem er þeirra eftir leiðarleit og aðeins eitt getur verið innan samningsbilanna. Notaðu tól sem leyfir að festa upprunann, eins og ping -I 10.1.0.5 10.2.0.9 eða curl --interface 10.1.0.5, svo pakkinn geti ekki valið aðra fangi í hljóði. Þegar fasta keyrslan hreyfir teljarana og sú ófasta gerir það ekki hefurðu fundið leiðarvandamál en ekki IPsec-vandamál.

Hvaða tölur á að lesa og hvar þær búa

Á Linux prentar ip -s xfrm state hverja samtengingu með línu lifetime current: þar sem bæta- og pakkasumman tilheyrir aðeins þeirri SA, og á eftir kemur lína stats: fyrir endurspilunar- og villuteljara. Hjá strongSwan-jafningja sýnir swanctl --list-sas eina línu in og eina línu out fyrir hvert uppsett barn og hver þeirra endar á bæta- og pakkafjölda; eldri stroke-tólin kalla sama parið bytes_i og bytes_o. Lestu áttirnar tvær aðskildar, því áttin sem varð flöt er niðurstaðan. Að leggja þær saman felur einmitt ósamhverfuna sem þú ert að leita að.

Báðar sýnir eru á hverja samtengingu, svo endurnýjun setur upp nýtt SPI-par og grunnlína þín fer aftur í núll án þess að nokkuð sé brotið. Skrifaðu niður SPIið sem þú fylgist með áður en endurnýjunartímamælirinn hleypur af, annars berðu nýja SA saman við gamla tölu. Ef út á við hækkar á meðan inn á við helst flatt hefur valarinn passað og svarið kom aldrei til baka, sem færir rannsóknina yfir á framsendingu jafningsins og hans eigin stefnu. IKEv2-stillingarskjöl strongSwan ná yfir lífsferil undir-SA og endurnýjunartímann bak við þessar tölur.

Athugunarpunkturinn er sérstök breyta frá uppruna pakkans. Vélbúnaðarafhleðsla getur hækkað teljara samtengingarinnar á meðan hugbúnaðarupptaka á viðmótinu sýnir ekki neitt, því afhlaðnir pakkar sleppa króknum sem upptakan situr á, og inn á við getur vikið á sama hátt. Þegar þau tvö eru ekki sammála skaltu nota teljarana til að svara hvort eitthvað passaði og upptökuna til að svara hvernig pakkinn leit út.

Leið, valarar og hvar pakkinn fæddist

Berðu saman þrjá hluti hlið við hlið: leiðina sem kjarninn velur fyrir ákvörðunarstaðinn þinn, stefnuna sem beinir umferð inn í rásina og valaraparið sem barnið semdi um. ip route get 10.2.0.9 from 10.1.0.5 nefnir viðmótið og upprunann sem kjarninn myndi nota og það er oft ekki parið sem þú gerðir ráð fyrir. ip xfrm policy sýnir sniðmátin og valarana sem eru uppsettir á staðnum en swanctl --list-sas sýnir hvað jafninginn samþykkti. Uppfletting sem sendir pakkann út um líkamlega viðmótið nær aldrei til stefnunnar, svo teljararnir geta ekki hreyfst.

Ósamræmi kemur í nokkrum myndum sem líta eins út frá teljara. IPv6-ákvörðunarstaður utan IPv4-valara, upprunafang úr röngu undirneti og stefna sem er þrengri en barnið gefa öll sama núllið. Lagaðu þrengstu orsökina fyrst, því að víkka valara bara til að hreyfa tölu breytir því sem rásin verndar.

Síðan er uppruni pakkans, gildran sem hlið setur fyrir eigin stjórnanda. Umferð sem hliðið myndar sjálft er borin saman við útstefnu en pakki sem það framsendir fyrir biðlara er borinn saman við framsendingarstefnu, svo ping frá vélinni getur tekist á braut sem enginn biðlari fer nokkurn tíma.

Ein afturkræf breyting og skýrsla sem stenst yfirferð

Breyttu einum þætti, endurtaktu sömu beiðnina og lestu sömu teljarana. Að hreinsa allar eldveggsreglur eða skipta um alla valara í einu hreyfir tölu og eyðileggur sönnunina sem sagði þér hvers vegna. Ef önnur keyrslan sýnir enn núll hefur þú útilokað eina tilgátu í stað þess að eyða síðdeginu.

Skrifaðu niðurstöðuna á form sem aðrir geta endurtekið: nafn barnsins, samþykkt bil, uppruninn sem þú festir, ákvörðunarstaðurinn sem þú prófaðir, áttin sem varð eftir á núlli og SPIið sem þú varst að lesa. Þessi setning aðgreinir samtengingu sem enginn notaði frá fjartengdu forriti sem fékk umferðina og hafnaði henni. Afturkallaðu breytinguna þegar hún hreyfði ekki teljarana og geymdu skráninguna; næsti maður byrjar þar sem þú stoppaðir. Ekkert í rásinni þurfti að endurbyggja fyrir allt þetta og einmitt það er tilgangurinn með að athuga samsvörun áður en stillingum er snert.