IPsec аркылуу маалымат базасынын суроосу илинип калат: UDP кайра иреттөөбү же TCPби?
Таза handshake'тан кийин илинип калган суроо туннелдин жолунун ичине көрсөтөт. Жолду оңдоону же 443төгү TCPге кайтууну үч шарт чечет.
TCP handshake'ынан кийин илинип калган суроо маршруттоо маселеси эмес. Маршруттун каталары handshake'ты ийгиликсиз кылат, ошондуктан орногон соң унчукпай калган сессия жолдун ичине көрсөтөт: инспекция, MTU же туннелдин UDP пакеттеринин келүү жолу. Алдыңыздагы чечим — ошол жолду оңдоо же туннелди TCPге которуу. Үч шарт аны чечет жана алардын бири да маалымат базасы жөнүндө эмес.
Туннелди күнөөлөөдөн мурун токтоп калууну классификациялаңыз
Төрт жыйынтык колдонуучуга бирдей көрүнөт, ал эми инженер үчүн таптакыр башка маани билдирет.
| What the client sees | What it rules out |
|---|---|
| Connection refused | Nothing is listening on the address and port the client reached |
| Timeout before the handshake | A filter, a missing route, or the wrong address |
| Handshake completes, query hangs | The session exists, so look at inspection, MTU and packet order |
| Stalls that recover on retry | Often reordering, or a state table entry expiring |
Туннелге убакыт жумшоону актай турган нерсе акыркы эки сап гана. VPN аркылуу четке кагылган туташуу адатта маалымат базасынын loopback'те гана угуп жатканы, бул угуучунун маселеси, ал эми handshake алдындагы таймаут чыпка же маршрут. Экөө тең инкапсуляцияны өзгөртүүдөн жакшырбайт.
Классификацияны адегенде тикетке жазыңыз. Бул эң арзан кадам жана издөө мейкиндигинин көп бөлүгүн алып салат.
UDP менен TCPнин ортосунда чечүүчү үч шарт
Инкапсуляцияланган IPsec трафиги UDP аркылуу жүрөт, ал эми UDP жолго эч кимге айтпастан кайра иреттөө жана түшүрүү эркиндигин берет. Кайра иреттөө пакеттерди туннелдин кайталоого каршы терезесинин сыртына түрткөндө, алар унчукпай жок кылынат жана ички TCP сессиясы жөн эле күтөт. Ийгиликтүү handshake менен эч качан кайтпаган суроонун артындагы механизм ушул.
Жолду оңдоо же TCPге кайтуу үч нерсеге байланыштуу. Биринчиден, жолдо чыныгы пакет жоготуусу барбы, же кайра иреттөө ганабы? Экинчиден, инспекция кайда жүргөнүн өзгөртө аласызбы, же бул туннелди кайра иреттегич компоненттен чыгара аласызбы? Үчүнчүдөн, жүк токтоп калуу үлгүсүнө сезимталбы, мисалы бир байланышты бөлүшкөн көп мультиплекстик сессиялар?
Эгер биринчи жооп жоготуу болсо, экинчиси жок болсо,443төгү TCP прагматикалык балама. Эгер экинчи жооп ооба болсо, жолду оңдоп, UDPни калтырыңыз.
Колдонмонун катасын эмес, firewall жазуусун окуңуз
Колдонмо таймаут тууралуу билдирет, бул себеп жөнүндө эч нерсе айтпайт. Firewall'дун өз журналы — түшүрүү же бөгөттөө көрүнгөн жер, ошондуктан маалымат базасынын жана колдонмонун даректери боюнча чыпкалап, кабыл алуулар менен катар түшүрүүлөрдү да издеңиз.Коркунучтун алдын алуу модулдары колдонмо деңгээлинде ката жаратпастан пакеттерди түшүрө алат, жана бул илинип калган суроонун дал формасы. Журналдагы унчукпастык да маалымат: ал журнал жүргүзбөгөн нерсеге, мисалы кайра иреттөөгө көрсөтөт.
Кластерди да текшериңиз. Туура эмес конфигурацияланган кластер сессияны бир мүчөнүн абал таблицасында кармап, пакеттер башка мүчөнүн жолу менен жүрүшү мүмкүн, ошондуктан жооптор абал жок жерге келет. Мындай токтоп калуулар кокустук көрүнөт жана жүк менен байланышпайт.
Бир нерсени өзгөртүүдөн мурун эки учун салыштырыңыз жана пакет санын эмес, келүү тартибин салыштырыңыз:
tcpdump -ni any udp port 4500 -w /tmp/encap.pcap
tcpdump -ni any tcp port 5432 -w /tmp/inner.pcap443төгү TCP сизге чынында канчага турат
Туннелди TCPге которуу кайра иреттөө белгисин жок кылат, анткени ортодогу куту эми иреттелген агымды көрөт. Ал ошондой эле TCP-over-TCP жаратат. Сырткы туташуу ички туташуу кайра жиберген нерсени кайра жиберет, ал эми бир жоготуу бардык мультиплекстик сессияларды бир убакта токтото алат. Таза жолдо бул көрүнбөйт. Жоготуулуу жолдо дары белгиден жаман.
Алмашуу балама таптакыр байланыш жок болгондо кабыл алынат жана аны нормалдуу деп кабыл алуунун ордуна жооптуу адам менен эреже катары документтештирүү керек.
Транспортту, портту, үлгүлүү суроону жана өлчөнгөн жыйынтыкты, ошондой эле датаны жазып коюңуз. Бул жазуу болмосо кийинки инженер тажрыйбаны кайталайт, ал эми эреже унчукпай архитектурага айланат.
Чечимди кайра карап чыгууга мүмкүн болгондой кармаңыз
Жол диагностикасы тез эскирет. Ортодогу куту алмаштырылат, модулдун конфигурациясы өзгөрөт, байланыш жаңыртылат, ал эми 443төгү TCPнин себеби жоголот, конфигурация калат. Эрежеге кайра кароо датасын коюп, UDPге кайтууга мүмкүндүк бере турган шартты атаңыз.
Эки транспортту тең кичине суроо жана чоң жыйынтык топтому менен сынап көрүңүз. Кайра иреттөө өлчөмгө көз каранды токтоп калуулар катары көрүнөт, ал эми угуучунун бузулушу эки өлчөмдү тең бирдей токтотот.