IKEv2 фрагментациясын сертификат тізбегі мәселесінен ажырату

Туннель кеңсе желісінде жұмыс істеп, үйде тоқтап қалды, ал журнал бірінші алмасудың басқа ештеңе болмай тұрып аяқталғанын көрсетеді. Бұл үлгі тіркелгі деректерін емес, аутентификация алмасуын көрсетеді: сертификат тізбегі бұл хабарды алдыңғысынан әлдеқайда үлкен етеді, ал үлкен датаграммаларды ұнатпайтын жол оны үнсіз тастап кетеді. Екі түрлі фрагментация механизмі қатысады, және қайсысын қарап жатқаныңызды білу түзетуді анықтайды.

Екі фрагментация механизмі, бір симптом

IKEv2-нің өз фрагментация кеңейтімі бар, ол RFC 7383 ішінде анықталған және қорғалған IKE хабарларын кішірек IKE хабарларына бөледі. Тараптар бұл мүмкіндік туралы келіседі, ал хабарды IP қабаты емес, IKE іске асыруы қайта жинайды.

Қарапайым IP фрагментациясы — басқа сәтсіздік режимі бар басқа механизм. Тараптар арасындағы маршрутизатор үлкен датаграмманы бөлшектейді немесе оны тастап, жіберушіге ешқашан жетпеуі мүмкін ICMP хабарын қайтарады. Кейбір желілер фрагменттерді үнсіз жояды, ал кейбір аралық құрылғылар бірінші фрагментті өңдейді, қалғанын өңдемейді. Қолданба тұрғысынан үш жағдай да бірдей көрінеді.

NAT арқылы өту үшінші айнымалыны қосады, өйткені сонда ESP UDP ішіне оралады және сыртқы пакет үлкейеді, сонымен бірге 4500 портындағы қарапайым UDP трафигіне ұқсайды. UDP-ны жақсы өткізетін жол әлі де сыймайтын датаграммада сәтсіздікке ұшырауы мүмкін.

Сәтсіз болған алмасуды оқыңыз

Қатені емес, ауысуды іздеңіз. Бірінші алмасудың жіберіліп, жауап берілгенін, содан кейін ештеңе болмағанын көрсететін журнал келесі хабардың ешқашан аяқталмағанын айтады. Журнал деңгейін уақытша көтеріп, екі тараптағы хабарланған өлшемдерді салыстырыңыз.

Анықтағыңыз келетіні — жауап беруші сұранысты мүлдем көрді ме. Егер бастаушы бірдеңе жіберіп, жауап берушіде ол туралы ешқандай жазба болмаса, мәселе жеткізуде. Егер жауап беруші сұранысты талдап, одан бас тартса, мәселе сертификаттың өзінде, ал фрагментация назарды бұрады. Бұл айырмашылық бір бет таймаут хабарларынан қымбат.

Жолды өзгертіңіз, сертификатты емес

Сол клиентті, сол сертификатты және сол конфигурацияны басқа желіден сынап көріңіз. Мобильді хотспот әдетте ең арзан екінші жол, және ол кеңсе байланысынан шынымен өзгеше, тек атауымен ғана емес.

Егер қол алысу екінші жолда аяқталса, сертификат тізбегі дұрыс және бірінші жол — айнымалы. Егер екеуінде де бірдей сәтсіз болса, желілерді сынауды тоқтатып, хабарлардың өзін қараңыз. Сол бір салыстыру мүмкін түсіндірмелердің шамамен жартысын жояды.

Бірдеңені өңдеу алдында алмасуды өлшеңіз

Тізбектің өлшемін және жолдың өлшемін алыңыз. Екі сан да қол алысудың не жібере алатынын шектейді, және екеуін де өлшеу арзан:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

Алғашқы екеуі сертификаттар санын және файл өлшемін береді, бұл аутентификация хабары қаншалықты үлкен болатынының орынды көрсеткіші. Ping тексерісі сол өлшемдегі датаграмманың жолда аман қалатынын хабарлайды, ал интерфейс есептегіштері сіздің жағыңызда фрагменттердің тасталғанын көрсетеді. Windows-та балама тексеріс — do-not-fragment жалаушасы және нақты пайдалы жүктеме өлшемі бар ping.

Тексерісті төмен қарай сәтті болғанша қайталаңыз. Өтетін ең үлкен өлшем — сол жолдың жұмыс бюджеті, және ол кез келген жарияланған әдепкі мәннен пайдалырақ.

Шынымен бұзылған қабатты түзетіңіз

Егер жол үлкен датаграммаларды тастаса, екі тарапта да IKE фрагментациясын қосыңыз және кеңейтімге тек ұсыныс емес, келісім жасалғанын растаңыз. Егер жол IP деңгейінде фрагменттерді нашар өңдесе, түзету сол жерге немесе сыртқы интерфейстің MTU-іне тиесілі, сертификат қоймасына емес.

Егер тізбек қажетсіз ұзын болса, оны тарапқа шынымен қажет аралық сертификаттарға дейін қысқартыңыз. Клиент бұрыннан сенетін түбірді алып тастау орынды күтім; аралық сертификатты алып тастау олай емес, ал хабарды кішірейту үшін тексеруді өшіру жеткізу мәселесін қауіпсіздік мәселесіне айырбастайды.

Қай механизмді өзгерткеніңізді және содан кейін қол алысу қандай болғанын жазып қойыңыз. Келесі жағдай әдетте сол симптоммен басқа желіде болады, ал жазба екі сағатты он минутқа айналдыратын нәрсе.