IKEv2 өлі серіктесті анықтау қосымшаңызды тексермейді

IKEv2 өміршеңдік тексеруі бір сұрақ қояды: екінші серіктес қорғалған басқару қатынасында әлі жауап беріп тұр ма. Ол ішкі қосымшаның сау екенін, шлюздің артында маршрут бар-жоғын немесе шолудың жылдам сезілетінін өлшемейді. Тексеру туннельдің артындағы барлық пайдалы нәрсе істен шыққанда да өте алады.

Таймерді өзгертуден бұрын екі түрлі дәлелді бөлек оқыңыз.

Өміршеңдік тексеруі шын мәнінде нені сұрайды

Өміршеңдік алмасуы құрылған IKE қауіпсіздік ассоциациясының ішінде жіберіледі және конфигурацияланған терезеде жауап күтеді. Сәттілік дегеніміз серіктестің IKE іске асырылуы әлі бар және әлі сөйлесуге дайын. Ол трафикті тасымалдайтын балалық қауіпсіздік ассоциациялары туралы ештеңе айтпайды, шлюздің арғы жағындағы маршруттау туралы да, туннельді ашқан қызмет туралы да ештеңе айтпайды. Бұл үш бөлек сұрақ, үш бөлек істен шығу режимімен.

Осы айырмашылық сессия үнсіз қалғанда қайда қарауды шешеді. Деректер жолы бүлінген кезде жауап беруді жалғастыратын серіктес саясатқа, маршруттауға немесе төменгі қызметке нұсқайды. Жауап беруді тоқтататын серіктес қолжетімділікке немесе алыс ұштың өз күйіне нұсқайды.

Қауіпсіздік ассоциацияларын браузерден бұрын оқыңыз

Басқару күйі мен деректер күйі демоннан сұрағанда бөлек тізіледі, ал есептегіштер әлдеқашан бірдеңе әрекет етілгенін айтады. Ешқашан орнатылмаған балалық ассоциация орнатылып, содан кейін пакеттерді өткізуді тоқтатқан ассоциацияға мүлде ұқсамайды, бірақ екеуі де бірдей пайдаланушы шағымын тудырады.

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

Күй атауларын билетке дәл сол күйінде жазыңыз, шағым сәтіндегі есептегіштермен бірге. Туннель төменде деген сипаттама екі ассоциацияның қайсысы аяқталғанын жасырады, ал әдетте бұл сақтауға тұрарлық жалғыз факт.

Маршрут ақауы өлі серіктеске дәл ұқсайды

Шлюз басқару алмасуларына жауап бере алады, бұл кезде жеке сервер желіден тыс, берілген маршрут жоқ немесе ішкі атау шешімі мүлде сәтсіз. Клиент жағынан олардың әрқайсысы жұмыс істеп тұрған сессия мен жұмыс істемейтін межелі орын ретінде көрінеді. Қайтару жолын алға жүретін жол сияқты мұқият тексеріңіз, өйткені алыс жақтағы асимметриялық маршруттау үнсіздікті тек бір бағытта тудырады.

Туннель көтерілген-көтерілмегенін тексерудің орнына, ниет етілген қосымшаны тікелей тексеріп, ол талпынған мекенжайды атаңыз. Шлюзге ping шлюздің жауап беретінін дәлелдейді, ол қосымшаның жауап бергенін ешқашан дәлелдеген емес. Қосымша талпынған нақты мекенжайды жазып алыңыз. Сол жол кейін іздеуді тарылтады және билет әдетте өткізіп жіберетін жалғыз факт осы.

Таймерлерді диагноздан шығарыңыз

Анықтау аралығын қысқарту өнімділік өзгерісі емес және сыйымдылық қоспайды. Пакет жоғалту жағдайында ол ақаудың қаншалықты тез танылатынын өзгертеді, бұл ештеңені жақсартпай-ақ симптомды басқаша көрсетуі мүмкін. Алдымен ақаудың нақты уақытын жазыңыз, содан кейін шыдамдылық сізде шын мәнінде бар байланыс үшін қате ме екенін шешіңіз.

NAT салыстыруын жаңартулар да осы санатқа жатады. Олар аударылған жолды пайдалануға жарамды ұстайды және алыстағы қосымшаның жұмыс істейтініне дәлел емес.

Толық қалпына келтіру саясаты серіктес өлі деп жарияланғанда клиент не істеуі керегін айтады: қайта іске қосу, жабу немесе ұстап тұру, және сол кезде басқа трафик не істей алады. Онсыз сол оқиға тоқсан сайын нөлден қайта диагностикаланады.