Greina IKEv2-bútun frá vandamáli með vottorðakeðju

Tunnillinn virkaði á skrifstofunetinu og stöðvast heima, og annállinn sýnir fyrsta skiptin klárast áður en nokkuð annað gerist. Þetta mynstur bendir á auðkenningarskiptin, ekki innskráningarupplýsingar: vottorðakeðja gerir þau skilaboð miklu stærri en þau fyrri, og slóð sem þolir ekki stór gagnagramm sleppir þeim hljóðlega. Tvær ólíkar bútunaraðferðir koma við sögu, og að vita hvorri þú ert að horfa á ræður úrbótunni.

Tvær bútunaraðferðir, eitt einkenni

IKEv2 hefur sína eigin bútunarlengingu, skilgreinda í RFC 7383, sem skiptir vörðum IKE-skilaboðum í minni IKE-skilaboð. Aðilarnir semja um þann eiginleika, og skilaboð eru sett saman aftur af IKE-útfærslunni frekar en af IP-laginu.

Venjuleg IP-bútun er önnur aðferð með öðru bilunarmynstri. Beinir milli aðilanna bútun stórt gagnagramm, eða sleppir því og skilar ICMP-skilaboðum sem ná kannski aldrei til sendandans. Sum net henda bútum hljóðlega, og sum millistykki meðhöndla fyrsta bútinn en ekki restina. Frá sjónarhóli forritsins líta öll þrjú tilvikin eins út.

NAT-yfirferð bætir þriðju breytunni við, því þá er ESP vafið í UDP og ytra pakkinn verður stærri á meðan hann lítur út eins og venjuleg UDP-umferð á gátt 4500. Slóð sem hleypir UDP vel í gegn getur samt brugðist á gagnagrammi sem passar ekki lengur.

Lestu skiptin sem brustu

Leitaðu að umskiptunum frekar en villunni. Annáll sem sýnir fyrstu skiptin send og svarað, og síðan ekkert, segir þér að næstu skilaboð hafi aldrei klárast. Hækkaðu annálsstigið tímabundið og berðu saman tilkynntar stærðir á báðum aðilum.

Það sem þú vilt staðfesta er hvort svarendinn sá beiðnina yfirleitt. Ef frumkvæðisaðilinn sendi eitthvað og svarendinn hefur enga skrá um það, er vandamálið í afhendingu. Ef svarendinn greindi beiðni og hafnaði henni, er vottorðið sjálft vandamálið, og bútun er truflun. Sá greinarmunur er meira virði en síða af tímanismunum.

Breyttu slóðinni, ekki vottorðinu

Prófaðu sama biðlara, sama vottorð og sömu stillingu frá öðru neti. Farsímaheitur reitur er venjulega ódýrasta önnur slóðin, og hún er sannarlega frábrugðin skrifstofutengingunni, ekki bara að nafninu.

Ef handabandið klárast á annarri slóðinni er vottorðakeðjan í lagi og fyrsta slóðin er breytan. Ef það bregst á sama hátt á báðum, hættu að prófa net og skoðaðu skilaboðin sjálf. Sá eini samanburður eyðir um það bil helmingi mögulegu skýringanna.

Mældu skiptin áður en þú breytir einhverju

Fáðu stærð keðjunnar og stærð slóðarinnar. Báðar tölurnar takmarka hvað handabandið getur sent, og báðar eru ódýrar í mælingu:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

Fyrstu tvær gefa fjölda vottorða og stærð skráarinnar, sem er sanngjarnt mat á hversu stór auðkenningarskilaboðin verða. Ping-prófið greinir frá því hvort gagnagramm af þeirri stærð komist leiðar sinnar, og tengistölur sýna hvort bútum hafi verið hent hjá þér. Á Windows er samsvarandi próf ping með do-not-fragment-fánanum og skýrri stærð nothæfs farms.

Endurtaktu prófið niður á við þar til það heppnast. Stærsta stærðin sem fer í gegn er vinnufjárhagsáætlunin fyrir þá slóð, og hún er gagnlegri en hvaða birt sjálfgefið gildi sem er.

Lagaðu lagið sem er í raun brotið

Ef slóðin sleppir stórum gagnagrammum, virkjaðu IKE-bútun á báðum aðilum og staðfestu að samið hafi verið um lenginguna, ekki bara boðið hana. Ef slóðin meðhöndlar búta illa á IP-stigi, tilheyrir úrbótin þar eða í MTU ytra tengisins, ekki í vottorðasafninu.

Ef keðjan er óþarflega löng, styttu hana að millivottorðunum sem aðili þarf í raun og veru. Að fjarlægja rót sem biðlarinn treystir þegar er sanngjarnt viðhald; að fjarlægja millivottorð er það ekki, og að slökkva á sannprófun til að minnka skilaboð skiptir afhendingarvandamáli út fyrir öryggisvandamál.

Skrifaðu niður hvaða aðferð þú breyttir og hvernig handabandið leit út eftir á. Næsta tilvik er venjulega á öðru neti með sama einkenni, og athugasemdin er það sem gerir tvær klukkustundir að tíu mínútum.