Жауапсыз шығыс ESP VPN өлді дегенді білдірмейді
ESP әр ассоциация үшін бір бағытты қорғайды және ештеңені растамайды. Серверді жауапсыз деп атамас бұрын ішкі әңгіме мен кіріс SA-ны сәйкестендіріңіз.
Сіз IPsec хосттағы трафикті түсірдіңіз, ESP пакеттерінің шығып жатқанын көрдіңіз, ештеңе қайтпағанын көрдіңіз және алыс жақ бұзылған деген қорытындыға келдіңіз. Түсірілім бұл қорытындыны қолдамайды. ESP әңгіменің бір бағытын қорғайды және IP деңгейінде ештеңені растамайды, сондықтан қайтарылатын ESP-нің болмауы қосымшаның айтар сөзі болмағанын да, туннельдің өлгенін де бірдей жеңілдікпен білдіруі мүмкін. Кез келген жақты кінәламас бұрын ішкі алмасуды және қабылдаушы жақтың күйін оқыңыз.
Аңыз: әрбір қорғалған пакет жауапқа лайық
ESP сұраныс-жауап протоколы емес. Ол саясат таңдағанның бәрін шифрлайды және аутентификациялайды, ал қабылдаушы өз пакетін жасамай-ақ сол ішкі пакетті тексереді, шифрын ашады және жеткізеді. Межеленген жер елемейтін UDP сұранысы немесе кіріс саясаты тастайтын ICMP жаңғырығы дұрыс нәтиже ретінде екі бағытта да үнсіздік туғызады. Сол үнсіздікті тасымал ақауы деп санау сізді ешқашан болмаған желілік ақауды іздеуге жібереді.
Бір бағытты түсірілім шын мәнінде жіберушінің стекі сол бақылау нүктесінде бірдеңені шифрлағанын дәлелдейді. Келу туралы ештеңе, жауап беру ниеті туралы да ештеңе. Пайдалы сұрақ "неге жауап жоқ" емес, "ішкі әңгіме не өндіруі керек еді".
Екі SA, екі SPI, бір әңгіме
IPsec қауіпсіздік ассоциациялары бір бағытты, сондықтан қалыпты қорғалған алмасу бөлек идентификаторлары мен тәуелсіз күйі бар кіріс және шығыс ассоциациясын қамтиды. Шығыс пакеттің SPI бойынша қайтарылатын трафикті іздеу сондықтан санат қатесі, өйткені кез келген жауап серіктестің өз шығыс SA астында өз SPI-імен жүреді. Оның орнына жұпты трафик селекторлары мен серіктес мекенжайлары бойынша сәйкестендіріңіз.
Кілттерді жаңарту көріністі әр жолы бірнеше секундқа күрделендіреді, өйткені ескі және алмастырушы күй қабаттасуы мүмкін. Егер симптом кілттерді жаңарту маңында басталса, тек қосылым атын емес, ассоциация идентификаторлары мен уақыт белгілерін бірге жинаңыз.
Бірдеңе жауап бермес бұрын қабылдаушы не істеуі керек
| Stage | What to look at | Wrong conclusion if skipped |
|---|---|---|
| Sender encrypts | outbound SA packet counter | "the tunnel is up" |
| Peer receives | inbound SA counter and replay window | "the peer is down" |
| Inner delivery | target host or service logs | "routing is broken" |
| Application replies | the app's own trace | "the reply was dropped" |
| Protected return | the peer's outbound SA | "ESP only works one way" |
Әр жол дербес сәтсіздікке ұшырайды және әр сәтсіздіктің иесі бөлек, сондықтан бір түсірілім оларды ажырата алмайды. Кіріс санағышы келудің жалғыз тікелей дәлелі, өйткені аутентификациядан немесе қайталау тексерісінен өтпеген пакет ешқандай жауапсыз тасталады. Кіріс санағышы қозғалмаған серіктес сізге өз саясаты туралы ешбір ақпарат бермейді.
Жеткізу шифрды ашудан бөлек қадам. Күй жарамды болуы мүмкін, бірақ пакет кейін кіріс саясаты немесе ішкі межені қамтымайтын маршрут арқылы тасталуы мүмкін, сондықтан таза санағыш пакет керек жерге барды деп болжаудың орнына мақсатты хост ашық мәтінді көрді ме, соны тексеріңіз.
Бастапқы ESP UDP емес
Бастапқы ESP — IP 50 протоколы, ол TCP те емес, UDP те емес және мүлдем порттары жоқ. Сондықтан UDP 500-де IKE-ке рұқсат беретін брандмауэр ережесі деректер жолы туралы ештеңе айтпайды, ал порттардың айналасында жазылған сүзгі туннельге келісуге мүмкіндік беріп, содан кейін ішінде тасылатынның бәрін тастай алады. Деректер жолын бөлек, шынында байқаған режимде сынаңыз.
NAT артында пішін өзгереді: қорғалған жүктеме UDP ішінде жүреді, әдетте 4500 портында, RFC 3948 айқындағандай. Кез келген ереже жазбас бұрын белсенді режимді жазып алыңыз, өйткені жолдағы құрылғы бастапқы ESP мен UDP-ге оралған ESP-ге мүлдем басқаша қарауы мүмкін, ал кейбір аралық жәшіктер біреуіне рұқсат беріп, екіншісін тастайды.
Осы оқиғаға тиесілі санағыштарды оқыңыз
strongSwan хостта swanctl --list-sas әр ассоциация бойынша екі бағыттағы пакет және байт санағыштарын хабарлайды, бұл "ешқашан келмеді" мен "келді, бірақ жауап берілмеді" жағдайларын ажыратуға жетеді. Linux-те /proc/net/xfrm_stat жоқ күй, жоқ саясат және протокол қателері сияқты жиынтық сәтсіздіктерді санайды. Бұл сомалар жүктелуден бері жинақталады және бір желілік аттар кеңістігіне тиесілі, сондықтан үлкен сан әлі телу емес.
Дұрыс аттар кеңістігінде оқиға терезесінің айналасында екі өлшеу алып, айырмашылықтарды салыстырыңыз, әйтпесе өткен аптадағы қателерді бүгінгі түстен кейінгі билетке жапсырасыз. Аттар кеңістігі мен екі уақыт белгісін билетке жазыңыз, сонда келесі оқырман сомаға сенудің орнына салыстыруды қайталай алады.
Күдіктіні емес, кезеңді атаңыз
Пайдалы қорытынды пакеттің қайда тоқтағанын айтады: ешқашан алынбады, алынды және тасталды, жеткізілді бірақ жауапсыз қалды, немесе жауап берілді және қайтар жолда жоғалды. Олардың әрқайсысы басқа иеге және басқа келесі пәрменге нұсқайды. "VPN серверінен жауап жоқ" төрт бөлек ақауды түсірілім ешқашан ақтамаған бір сөйлемге сығады.
Түсірілімдерді тар ұстаңыз, ал шикі ядро күйін билеттерден тыс ұстаңыз, өйткені ол хосттан шығуға тиісті емес кілт материалын алып жүруі мүмкін. Санағыштардың айырмашылықтары мен уақыт белгілері келесі адамға беруге тұрарлық бөліктер.