DPD-ის პასუხები ამტკიცებს, რომ IKE პარტნიორი ცოცხალია და არა ის, რომ თქვენი მონაცემები მიედინება
სიცოცხლისუნარიანობის პასუხები, padding-ის შეტყობინება და შევიწროებული სელექტორები სამ სხვადასხვა რამეს აღწერენ. წაიკითხეთ ისინი ცალკე, სანამ ერთ მათგანს შეჩერებაში დაადანაშაულებთ.
IPsec-ის ჟურნალები შეიძლება აჩვენებდეს სიცოცხლისუნარიანობის პასუხებს მაშინაც, როცა მათ წინ მდგარი აპლიკაცია გაჩერებულია და ორივე ფაქტი ერთდროულად შეიძლება იყოს ჭეშმარიტი. DPD-ის პასუხი ადგენს, რომ პარტნიორის IKE დამუშავებამ იმ მომენტში უპასუხა; ის არაფერს ამბობს იმაზე, გადააქვს თუ არა შვილობილ SA-ს ის პაკეტი, რომელიც თქვენთვის მნიშვნელოვანია. ყოველი გაფრთხილების გაუმართაობის მახლობლად მის მიზეზად მიჩნევა ის გზაა, რომლითაც სელექტორის პრობლემა პროტოკოლის ხარვეზად დიაგნოსტირდება. სამი დაკვირვება ყველაზე ხშირად ერევა ერთმანეთს და ისინი სამ სხვადასხვა კითხვას პასუხობენ. წაიკითხეთ ისინი კავშირისა და დანიშნულების მიხედვით, სანამ დროის ნიშნით წაიკითხავთ.
რას ამტკიცებს თითოეული დაკვირვება
ცხრილი გამოყოფს იმას, რასაც თითოეული დაკვირვება ადგენს, იმისაგან, რასაც ის უბრალოდ თან ახლავს.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
სამიდან არც ერთი თავისთავად შეცდომა არ არის. თითოეული საინტერესო ხდება მხოლოდ იმ დინების გვერდით, რომელსაც ამუშავებთ და ის სტრიქონი, რომლის დაკავშირებაც კონკრეტულ დინებასთან შეუძლებელია, კონტექსტია და არა მტკიცებულება.
სიცოცხლისუნარიანობა მონაცემთა ჯანმრთელობა არ არის
DPD მუშაობს როგორც INFORMATIONAL გაცვლა, საკონტროლო დონის საუბარი IKE-ის დემონებს შორის. პასუხი ამტკიცებს, რომ პარტნიორის IKE პროცესი ხელმისაწვდომია და მზადაა უპასუხოს, ხოლო დროის ამოწურვა ამტკიცებს, რომ ასე არ არის. არც ერთი შედეგი არ ამოწმებს შვილობილ SA-ს, სელექტორებს, გადაცემის გზას ან აპლიკაციის პასუხს, ამიტომ გაჩერებული გადაცემის გვერდით ჯანსაღი DPD თანმიმდევრული სურათია და არა წინააღმდეგობა.
ამიტომ სიცოცხლისუნარიანობის სტრიქონები მონაცემთა დონის ბილეთის ყველაზე ნაკლებად სასარგებლო ნაწილია, რაოდენ დამამშვიდებლადაც არ უნდა გამოიყურებოდეს ისინი ჟურნალის თავში.
padding-ის შეტყობინება განაცხადია padding-ის შესახებ
TFC padding ამ ჟურნალებში ყველაზე მეტად გადაჭარბებულად წაკითხული სტრიქონია. ის ამბობს, რომ ტრაფიკის ნაკადის კონფიდენციალურობისთვის padding არ მიიღება ამ შვილობილი SA-სთვის, რაც განაცხადია არასავალდებულო padding-ის ფუნქციაზე და არა ESP-ის დაცვაზე უარის თქმა. მისი პოვნა ხარვეზის მახლობლად ჩვეულებრივ სიტყვაუხვობის დამთხვევაა და padding-ის ჩართვა ან გამორთვა სელექტორების დაფარვაში არაფერს ცვლის.
IKEv2-ის სპეციფიკაცია განსაზღვრავს როგორც შეტყობინებას, ისე სელექტორთა მოლაპარაკებას და იმპლემენტაციის გაფრთხილების ეტიკეტი არც ერთ შემთხვევაში არ ცვლის პროტოკოლის მნიშვნელობას.
შევიწროება უფრო ჩუმია და უფრო სავარაუდოდ მნიშვნელოვანი
პასუხისმგებელი მხარე შეიძლება დათანხმდეს შემოთავაზებული სელექტორების ქვესიმრავლეს და მიღებული სიმრავლე შეიძლება დაიბეჭდოს რამდენიმე ჩანაწერად, ერთი პორტით კვალიფიცირებული და მეორე ყველა პორტის დამფარავი. მხოლოდ პირველი პორტით კვალიფიცირებული სტრიქონის წაკითხვა ამცირებს მიღებულს; მხოლოდ ფართო სტრიქონის წაკითხვა აჭარბებს მას. შეადარეთ დაბეჭდილი წინადადება დაყენებულ პოლიტიკას, რადგან წინადადება არის ის, რაც პარტნიორებმა თქვეს, ხოლო პოლიტიკა არის ის, რასაც ბირთვი შეადარებს. როცა ისინი არ ემთხვევა, გვირაბი არსებობს და ტრაფიკი არა, რაც კლასიკური წყვეტილი ჩივილია. პარტნიორების შედარებისას შეცვალეთ ლოკალური და დისტანციური ხედვა, რადგან თითოეული მხარის ლოკალური მეორის დისტანციურია.
პორტის შეზღუდვის მქონე ჰოსტის სპეციფიკური ჩანაწერები ორჯერ წაკითხვის ღირსია, რადგან სწორედ ისინი გამორიცხავენ ICMP-ს ან მეორე პორტს და კარიბჭისკენ ping მუშაობას აგრძელებს.
შექმენით ერთი ჩანაწერი წარუმატებელი დინებისთვის
ჩაწერეთ წყარო, დანიშნულება, მისამართების ოჯახი, პროტოკოლი და პორტი ისე, როგორც ისინი ჩანს დაცვის გადაწყვეტისას, მათ შორის ნებისმიერი განზრახ თარგმანი. ეს არის ის მნიშვნელობები, რომლებიც უნდა დაემთხვეს სელექტორს და ეს ასევე ის მნიშვნელობებია, რომლებსაც ადამიანები მეხსიერებიდან ხელახლა აკრეფენ, როცა ბილეთი ხელების მესამე წყვილს აღწევს.
შემდეგ იდენტიფიცირეთ შვილობილი SA და მისი მიმართულების მრიცხველები: swanctl --list-sas იძლევა ასოციაციის შეჯამებას strongSwan ჰოსტზე, ხოლო ip -s xfrm state იძლევა მრიცხველებს. წაიკითხეთ ისინი ახალი ნებადართული მოთხოვნის შემდეგ და არა მაშინ, როცა სისტემა უმოქმედოა. გამავალ ტრაფიკში ზრდის არარსებობა მიუთითებს შერჩევაზე ან ლოკალურ გზაზე; გამავალი შესაბამისი შემავალის გარეშე მიუთითებს პარტნიორზე, მის გადაცემაზე ან მის პასუხებზე.
დასრულებული აპლიკაციის გაცვლა აღემატება ნებისმიერ მრიცხველს, ამიტომ ტესტი უნდა დასრულდეს აპლიკაციაში და არა გვირაბის ინდიკატორში.
აირჩიეთ შესწორება შემდეგ
მხოლოდ მას შემდეგ, რაც ეს ჩანაწერი არსებობს, არის ასარჩევი შესწორება: მიღებული სელექტორები, მარშრუტი, ფილტრაცია, პარტნიორის იმპლემენტაცია ან საზღვარი, რომელიც ახლა აჩვენეთ. პარტნიორის გადატვირთვა ცვლის რამდენიმე მდგომარეობას ერთდროულად და ხშირად აღადგენს ტრაფიკს იმის ახსნის გარეშე, რომელი იყო არასწორი, ამიტომ გაუმართაობა ბრუნდება. ბირთვის მდგომარეობის დემპები ბილეთების გარეთ შეინახეთ, რადგან მათში გასაღებები შეიძლება იყოს და ვიწრო შეჯამება საკმარისია ყველასთვის, ვისაც დახმარება სჭირდება.
როცა ჩანაწერი ეწინააღმდეგება თქვენს პირველ თეორიას, ერწმუნეთ ჩანაწერს და გადაწერეთ თეორია; ეს ჩვევა უფრო ღირებულია, ვიდრე აქ განხილული ნებისმიერი ერთი ჟურნალის სტრიქონი.