DPD жауаптары IKE әріптесінің тірі екенін дәлелдейді, деректеріңіздің ағып жатқанын емес
Тіршілік жауаптары, толтыру хабарламасы және тарылтылған селекторлар үш түрлі нәрсені сипаттайды. Кідіріс үшін біреуін кінәламас бұрын оларды бөлек оқыңыз.
IPsec журналдары алдындағы қолданба тоқтап тұрса да тіршілік жауаптарын көрсете алады және екі факт бір уақытта ақиқат болуы мүмкін. DPD жауабы әріптестің IKE өңдеуі сол сәтте жауап бергенін растайды; ол бала SA сізге маңызды пакетті тасымалдай ма, жоқ па, ол туралы ештеңе айтпайды. Ақаулыққа жақын әрбір ескертуді оның себебі деп санау — селектор мәселесін протокол қатесі ретінде диагностикалаудың жолы. Ең жиі шатастырылатын үш байқау бар және олар үш түрлі сұраққа жауап береді. Оларды уақыт белгісі бойынша оқымас бұрын байланыс пен мақсат бойынша оқыңыз.
Әр байқау нені дәлелдейді
Кесте әр байқаудың нені анықтайтынын оның жай ғана немен жүретінінен ажыратады.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Үшеуінің ешқайсысы өздігінен қате емес. Әрқайсысы тек сіз жөндеп жатқан ағынның қасында ғана қызықты болады, ал нақты ағынға байланыстыруға болмайтын жол — дәлел емес, контекст.
Тіршілік деректер денсаулығы емес
DPD INFORMATIONAL алмасу ретінде жұмыс істейді, IKE демондары арасындағы басқару деңгейінің әңгімесі. Жауап әріптестің IKE процесінің қолжетімді және жауап беруге дайын екенін дәлелдейді, ал таймаут олай емес екенін дәлелдейді. Нәтижелердің ешқайсысы бала SA-ны, селекторларды, жіберу жолын немесе қолданбаның жауабын тексермейді, сондықтан тоқтаған тасымал қасындағы сау DPD — қайшылық емес, үйлесімді сурет.
Сондықтан тіршілік жолдары журналдың жоғарғы жағында қаншалықты тыныштандырарлық көрінсе де, деректер деңгейі билетінің ең пайдасыз бөлігі болып табылады.
Толтыру хабарламасы толтыру туралы мәлімдеме
TFC толтыруы осы журналдардағы ең көп асыра оқылатын жол. Ол трафик ағынының құпиялылығы үшін толтыру сол бала SA үшін қабылданбайтынын айтады, бұл ESP қорғанысынан бас тарту емес, қосымша толтыру функциясы туралы мәлімдеме. Оны ақаулықтың жанынан табу әдетте сөз көптігінің кездейсоқтығы, ал толтыруды қосу немесе өшіру селекторлардың қамтуында ештеңені өзгертпейді.
IKEv2 спецификациясы хабарламаны да, селекторлар келіссөзін де анықтайды және іске асырудың ескерту белгісі екі жағдайда да протокол мағынасын алмастырмайды.
Тарылту неғұрлым тыныш және маңызды болуы ықтимал
Жауап беруші ұсынылған селекторлардың ішкі жиынын қабылдай алады және қабылданған жиын бірнеше жазба бойынша басылуы мүмкін, біреуі портпен квалификацияланған, екіншісі барлық порттарды қамтиды. Тек бірінші порттық жолды оқу қабылданғанды төмендетеді; тек кең жолды оқу оны асырады. Басылған ұсынысты орнатылған саясатпен салыстырыңыз, өйткені ұсыныс — әріптестер айтқан нәрсе, ал саясат — ядро сәйкестендіретін нәрсе. Олар келіспесе, туннель бар, трафик жоқ — бұл классикалық үзілісті шағым. Әріптестерді салыстырғанда жергілікті және қашықтағы көзқарасты ауыстырыңыз, өйткені әр тараптың жергіліктісі — екіншісінің қашықтағысы.
Порт шектеуі бар хостқа тән жазбаларды екі рет оқыған жөн, өйткені дәл солар ICMP немесе екінші портты алып тастап, шлюзге ping жұмысын жалғастырады.
Сәтсіз ағын үшін бір жазба жасаңыз
Дереккөзді, межені, мекенжай тобын, протоколды және портты қорғаныс шешімінде көрінгендей жазыңыз, оның ішінде кез келген әдейі аударма. Бұл селекторға сәйкес келуі тиіс мәндер және билет үшінші қол жұбына жеткенде адамдар жадтан қайта теретін мәндер де осылар.
Содан кейін бала SA мен оның бағыттық есептегіштерін анықтаңыз: swanctl --list-sas strongSwan хостында бірлестік қорытындысын береді, ал ip -s xfrm state есептегіштерді береді. Оларды жүйе бос тұрғанда емес, жаңа рұқсат етілген сұраныстан кейін оқыңыз. Шығыс трафигінің өсуінің болмауы таңдауға немесе жергілікті жолға нұсқайды; сәйкес кіретін жоқ шығыс әріптеске, оның жіберуіне немесе оның жауаптарына нұсқайды.
Аяқталған қолданба алмасуы кез келген есептегіштен жоғары, сондықтан тест туннель индикаторында емес, қолданбада аяқталуы керек.
Содан кейін түзетуді таңдаңыз
Тек сол жазба болғаннан кейін ғана таңдауға болатын түзету болады: қабылданған селекторлар, маршрут, сүзгілеу, әріптестің іске асырылуы немесе енді көрсеткен шекара. Әріптесті қайта қосу бірнеше күйді бірден өзгертеді және көбіне қайсысы қате болғанын түсіндірмей трафикті қалпына келтіреді, сондықтан ақаулық қайта оралады. Ядро күйінің дамптарын да билеттерден тыс ұстаңыз, өйткені оларда кілттер болуы мүмкін, ал қысқа қорытынды көмектесуі керек кез келген адамға жеткілікті.
Жазба сіздің бірінші теорияңызға қайшы келсе, жазбаға сеніп, теорияны қайта жазыңыз; бұл әдет осында талқыланған кез келген жалғыз журнал жолынан қымбат.