Útfarandi ESP án svars þýðir ekki að VPN sé dautt
ESP verndar eina átt fyrir hverja samtengingu og staðfestir ekkert. Stilltu innri samræðunum og inngöngu-SA saman áður en þú kallar þjóninn svarlausan.
Þú tókst umferð á IPsec-hýsilnum, sást ESP-pakka fara út, sást ekkert koma til baka og ályktaðir að fjarlæga hliðin væri biluð. Upptakan styður ekki þá ályktun. ESP verndar eina átt samræðna og staðfestir ekkert á IP-laginu, svo skortur á endurkoma-ESP getur jafn auðveldlega þýtt að forritinu hafi ekki verið neitt að segja og að göngin séu dauð. Lestu innri skiptin og ástand viðtakandans áður en þú kennir öðrum endanum um.
Goðsögnin: hver varin pakki á skilið svar
ESP er ekki beiðni-svar samskiptareglur. Það dulkóðar og sannvottar það sem stefnan velur, og viðtakandinn staðfestir, afkóðar og afhendir þann innri pakka án þess að búa til pakka sjálfur. UDP-fyrirspurn sem áfangastaðurinn hunsar, eða ICMP-endurhljómur sem inngöngustefnan hendir, framleiða þögn í báðar áttir sem rétta niðurstöðu. Að líta á þá þögn sem flutningsbilun sendir þig að leita að netbilun sem var aldrei til.
Það sem eináttar upptaka sannar í raun er að stafli sendandans dulkóðaði eitthvað á þeim athugunarstað. Ekkert um komu, og ekkert um áform um að svara. Gagnlega spurningin er ekki "hvers vegna er ekkert svar" heldur "hvað hefði innri samræðan átt að framleiða".
Tvö SA, tveir SPI, ein samræða
IPsec-öryggissamtengingar eru eináttar, svo venjuleg varin skipti hafa inngöngu- og útgangssamtengingu með aðskildum auðkenningum og óháðu ástandi. Að leita að endurumferð eftir SPI útfararpakkans er því flokkavilla, því hvert svar fer undir eigin útgangs-SA jafningjans með eigin SPI. Paraðu parið eftir umferðarvali og heimilisföngum jafningsins í staðinn.
Lykilendurnýjun flækir myndina í nokkrar sekúndur í senn, þar sem gamalt og staðgengilsástand geta skarast. Ef einkennið byrjaði um lykilendurnýjun skaltu safna auðkenningum samtenginga og tímastimplum saman, ekki bara nafni tengingarinnar.
Hvað viðtakandinn verður að gera áður en eitthvað svarar
| Stage | What to look at | Wrong conclusion if skipped |
|---|---|---|
| Sender encrypts | outbound SA packet counter | "the tunnel is up" |
| Peer receives | inbound SA counter and replay window | "the peer is down" |
| Inner delivery | target host or service logs | "routing is broken" |
| Application replies | the app's own trace | "the reply was dropped" |
| Protected return | the peer's outbound SA | "ESP only works one way" |
Hver röð bregst óháð og hver bilun hefur annan eiganda, þess vegna getur ein upptaka ekki greint þær. Inngönguteljarinn er eina beina sönnunin um komu, því pakka sem bregst í sannvottun eða endurtekningaprófun er hent án nokkurs svars. Jafningi þar sem inngönguteljarinn hefur ekki hreyfst sendir þér því engar upplýsingar um stefnu sína.
Afhending er sérstakt skref frá afkóðun. Ástandið getur verið gilt og pakkanum samt hent síðar af inngöngustefnu eða leið sem nar ekki innri áfangastað, svo athugaðu hvort markhýsillinn hafi séð venjulegan texta í stað þess að gera ráð fyrir að hreinn teljari þýði að pakkinn hafi farið þangað sem þú vildir.
Frumlegt ESP er ekki UDP
Frumlegt ESP er IP-samskiptareglan 50, sem er hvorki TCP né UDP og hefur engin port. Því segir eldveggjarregla sem leyfir IKE á UDP 500 ekkert um gagnaleiðina, og sía skrifuð í kringum port getur leyft göngunum að semja og síðan hent öllu sem flutt er inni í þeim. Prófaðu gagnaleiðina sérstaklega, í þeim ham sem þú fylgdist í raun með.
Á bak við NAT breytist lögunin: varðaða hleðslan fer inni í UDP, venjulega á porti 4500, eins og RFC 3948 skilgreinir. Skráðu virka haminn áður en þú skrifar nokkra reglu, því tæki á leiðinni getur meðhöndlað frumlegt ESP og UDP-umbúið ESP gjörólíkt, og sum millibox leyfa annað en henda hinu.
Lestu teljara sem tilheyra þessu atviki
Á strongSwan-hýsli skýrslar swanctl --list-sas pakka- og bætateljara fyrir hverja samtengingu í báðar áttir, sem nægir til að greina "kom aldrei" frá "kom og var ekki svarað". Á Linux telur /proc/net/xfrm_stat samsettar bilanir eins og vantar ástand, vantar stefnu og samskiptaregluvillur. Þessar samtölur safnast frá ræsingu og tilheyra einu netnafnrými, svo stór tala er ekki eignun.
Taktu tvær lestrur í kringum atviksgluggann í réttu nafnrými og berðu saman muninn, annars festir þú villur síðustu viku á miða dagsins. Settu nafnrýmið og báðar tímastimplana á miðann svo næsti lesandi geti endurgert samanburðinn í stað þess að treysta samtölu.
Nefndu stigið, ekki grunnaðila
Gagnleg niðurstaða segir hvar pakkinn stoppaði: aldrei móttekinn, móttekinn og hent, afhentur en ósvaraður, eða svaraður og týndur á leiðinni til baka. Hvert þessara bendir á annan eiganda og aðra næstu skipun. "Ekkert svar frá VPN-þjóninum" þjappar fjórum aðskildum bilunum í eina setningu sem upptakan réttlætti aldrei.
Haltu upptökum þröngum og haltu hráu kjarnaástandi utan miða, því það getur borið lykilefni sem á ekkert erindi út fyrir hýsilinn. Teljarabreytingarnar og tímastimplarnir eru þeir hlutar sem er þess virði að afhenda næstu manneskju.