DPD жооптору IKE өнөктөшү тирүү экенин далилдейт, маалыматтарыңыз агып жатканын эмес
Тирүүлүк жооптору, толтуруу билдирүүсү жана тарытылган селекторлор үч башка нерсени сүрөттөйт. Кармалып калуунун айыбын бирине таштаардан мурун аларды өзүнчө окуңуз.
IPsec журналдары алардын алдындагы колдонмо токтоп турганда да тирүүлүк жоопторун көрсөтө алат жана эки факт бир убакта чын болушу мүмкүн. DPD жообу өнөктөштүн IKE иштетүүсү ошол учурда жооп бергенин тастыктайт; ал бала SA сизге маанилүү болгон пакетти алып жүрөбү же жокпу, ал жөнүндө эч нерсе айтпайт. Бузулуунун жанындагы ар бир эскертүүнү анын себеби деп кароо — селектор көйгөйүн протокол катасы катары диагностикалоонун жолу. Эң көп алмаштырылган үч байкоо бар жана алар үч башка суроого жооп берет. Аларды убакыт белгиси боюнча окуудан мурун байланыш жана максат боюнча окуңуз.
Ар бир байкоо эмнени далилдейт
Таблица ар бир байкоонун эмнени аныктайанын анын жөн гана эмне менен коштолорун ажыратат.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Үчөөнүн бири да өзүнөн өзү ката эмес. Ар бири сиз оңдоп жаткан агымдын жанында гана кызыктуу болот, ал эми белгилүү агымга байланыштырууга болбой турган сап — далил эмес, контекст.
Тирүүлүк маалымат ден соолугу эмес
DPD INFORMATIONAL алмашуу катары иштейт, IKE демондорунун ортосундагы башкаруу деңгээлиндеги сүйлөшүү. Жооп өнөктөштүн IKE процесси жеткиликтүү жана жооп берүүгө даяр экенин далилдейт, ал эми таймаут андай эмес экенин далилдейт. Эч бир натыйжа бала SAны, селекторлорду, жөнөтүү жолун же колдонмонун жообун текшербейт, ошондуктан токтогон өткөрүүнүн жанындагы соо DPD — карама-каршылык эмес, ырааттуу сүрөт.
Ошондуктан тирүүлүк саптары журналдын жогору жагында канчалык тынчтандырарлык көрүнсө да, маалымат деңгээлиндеги билеттин эң пайдасыз бөлүгү.
Толтуруу билдирүүсү толтуруу жөнүндө билдирүү
TFC толтуруусу бул журналдарда эң көп ашыра окулган сап. Ал трафик агымынын купуялуулугу үчүн толтуруу ошол бала SA үчүн кабыл алынбайт деп айтат, бул ESP коргоосунан баш тартуу эмес, кошумча толтуруу функциясы жөнүндө билдирүү. Аны бузулуунун жанынан табуу адатта сөз көптүгүнүн кокустугу, ал эми толтурууну күйгүзүү же өчүрүү селекторлордун камтылышында эч нерсени өзгөртпөйт.
IKEv2 спецификациясы билдирүүнү да, селекторлордун сүйлөшүүсүн да аныктайт жана ишке ашыруунун эскертүү белгиси эки учурда тең протоколдун маанисин алмаштырбайт.
Тарытуу унчукпайраак жана маанилүү болушу ыктымалдуу
Жооп берүүчү тарап сунушталган селекторлордун ички топтомун кабыл ала алат жана кабыл алынган топтом бир нече жазуу боюнча басылышы мүмкүн, бири порт менен квалификацияланган, экинчиси бардык портторду камтыйт. Биринчи порттук сапты гана окуу кабыл алынганды төмөндөтөт; кенен сапты гана окуу аны ашырат. Басылган сунушту орнотулган саясат менен салыштырыңыз, анткени сунуш — өнөктөштөр айткан нерсе, саясат — ядро дал келтире турган нерсе. Алар дал келбесе, туннель бар, трафик жок — бул классикалык үзгүлтүктүү нааразылык. Өнөктөштөрдү салыштырганда жергиликтүү жана алыскы көз карашты тескери буруңуз, анткени ар бир тараптын жергиликтүүсү — экинчисинин алыскысы.
Порт чектөөсү бар хостко тиешелүү жазууларды эки жолу окуган татыктуу, анткени дал ошолор ICMP же экинчи портту чыгарып салып, шлюзга ping иштеп турат.
Ийгиликсиз агым үчүн бир жазуу түзүңүз
Булакты, багытты, дарек үй-бүлөсүн, протоколду жана портту коргоо чечиминде көрүнгөндөй жазыңыз, анын ичинде ар кандай атайын котормо. Булар селекторго дал келиши керек болгон маанилер жана билет үчүнчү кол жупка жеткенде адамдар эстен кайра терип жазган маанилер да ушулар.
Андан кийин бала SAны жана анын багыттык эсептегичтерин аныктаңыз: swanctl --list-sas strongSwan хостуунда бирикменин кыскачасын берет, ал эми ip -s xfrm state эсептегичтерди берет. Аларды система бош турганда эмес, жаңы уруксат берилген сурамдан кийин окуңуз. Чыгуучу трафикте өсүүнүн жоктугу тандоого же жергиликтүү жолго көрсөтөт; тиешелүү кирүүчүсүз чыгуучу өнөктөшкө, анын жөнөтүүсүнө же анын жоопторуна көрсөтөт.
Бүткөн колдонмо алмашуусу каалаган эсептегичтен жогору, ошондуктан тест туннель индикаторунда эмес, колдонмодо бүтүшү керек.
Андан кийин оңдоону тандаңыз
Ошол жазуу болгондон кийин гана тандоого боло турган оңдоо бар: кабыл алынган селекторлор, маршрут, чыпкалоо, өнөктөштүн ишке ашырылышы же азыр көрсөткөн чек. Өнөктөштү кайра кошуу бир нече абалды бир эле учурда өзгөртөт жана көбүнчө кайсынысы туура эмес болгонун түшүндүрбөстөн трафикти калыбына келтирет, ошондуктан бузулуу кайтып келет. Ядро абалынын дамптарын билеттерден сырткары кармаңыз, анткени аларда ачкычтар болушу мүмкүн, ал эми кыскача корутунду жардам берүүгө тийиш болгон ар кимге жетиштүү.
Жазуу сиздин биринчи теорияңызга каршы келсе, жазууга ишенип, теорияны кайра жазыңыз; бул адат бул жерде талкууланган каалаган жалгыз журнал сабынан кымбат.