IPsec бала SA көтөрүлдү, бирок пакет эсептегичтери нөл бойдон калды

Сиз туннелди көтөрдүңүз, кайра ачкычтоо таймери кері санап жатат, ал эми эки багыт тең нөл пакетти көрсөтүп турат. Бул эки сан эч нерсени билдирбейт: орнотулган CHILD SAнын бош эсептегичтери — ага азырынча эч нерсе дал келбеген ассоциациянын кадимки абалы. Жумуш — пакет дал келиши керек экенин далилдеп, анан ал селекторлор сүрөттөгөн жолдон кайда кетип калганын табуу. Муну бир жолу, ырааттуулук менен жасаңыз жана эки жүргүзүүнүн ортосунда сурамды бирдей кармаңыз.

Нөл эсептегич эмнени чындыгында далилдейт

CHILD SA — бул селекторлор жубу жана ошол диапазондорго кирген трафикти шифрлеген ачкычтар менен SPI. Аны орнотуу эки тарап тең ошол диапазондор жана алынган ачкычтар боюнча макулдашканын гана билдирет; ядро бир да пакет келбестен аны саат бою кармап турат. Демек, суроо туннелдин бар-жоктугу жөнүндө эмес, сынакта жөнөтүлгөн пакет эки тарап келишкен диапазондорго кирдиби дегенде. Эч кирбесе, эсептегичтер нөлдө калат жана ассоциация өз жашоо мөөнөтүнүн аягында колдонулбай бүтөт.

Бул айырма эмнени биринчи текшерээриңизди өзгөртөт. Четке кагылган сунуш, аутентификациянын ишке ашпашы же өлүп бара жаткан IKE SA — баары логдо же SA тизмесинде көрүнөт, үнсүз нөл катары эмес. Таза сүйлөшүп, анан бош турган туннел дал келүүгө, маршруттоого же сынак трафигинин булагына шилтейт.

Агымын жөнөтүүдөн мурун аны сүрөттөй алыңыз

Корголгон ички тармактын ичиндеги багытты тандап, ага жаңы байланыш ачыңыз; бир саат мурун жүктөгөн барак кэштен берилиши мүмкүн, ал эми кэштелген жооп туннелге таптакыр тийбейт. Андан кийин, сурам али гипотетикалык турганда, төрт маанини жазып алыңыз: колдонмо байланыша турган булак дареги, багыт, дарек үй-бүлөсү жана сиз көзөмөлдөп жаткан бала SAнын аталышы же селекторлор жубу. Ошол жазуу жалпак эсептегичти текшерүүгө боло турган ырастоого айландырат.

Булак дареги — адамдар көбүнчө өткөрүп жиберген маани, ошол эле учурда сынакты эң көп бузат. Зымдуу дареги, Wi-Fi дареги жана туннел дареги бар ноутбук маршрут издөөгө жараша алардын кайсынысын болсо да байланышы мүмкүн, жана алардын бири гана келишилген диапазондун ичинде болушу ыктымал. Булагы бекемделүүчү куралды колдонуңуз, мисалы, ping -I 10.1.0.5 10.2.0.9 же curl --interface 10.1.0.5, ошондо пакет жашыруун түрдө башка даректи тандай албайт. Бекемделген жүргүзүү эсептегичтерди козгоп, бекемделбеген жүргүзүү козгобосо, сиз IPsec көйгөйүн эмес, маршруттоо көйгөйүн таптыңыз.

Кайсы сандарды окуу керек жана алар кайда турат

Linux системасында ip -s xfrm state ар бир ассоциацияны lifetime current: деген сапча менен чыгарат, анын байт жана пакет жыйындысы ошол SAга гана таандык, анан кайталоо жана каталарды эсептөө үчүн stats: деген сапча келет. strongSwan тарабында swanctl --list-sas орнотулган ар бир бала үчүн бир in сапчасын жана бир out сапчасын чыгарат, ар бири байт жана пакет саны менен бүтөт; эски stroke куралдары ошол эле жупту bytes_i жана bytes_o деп белгилейт. Эки багытты өз-өзүнчө окуңуз, анткени тегиз бойдон калганы — табылга. Аларды кошуу дал өзүңүз издеген асимметрияны жашырат.

Эки көрүнүш тең ассоциацияга тиешелүү, ошондуктан кайра ачкычтоо жаңы SPI жупун орнотот жана базалык сызыгыңыз эч нерсе бузулбастан нөлгө кайтат. Кайра ачкычтоо таймери иштеп кетээрден мурун көзөмөлдөп жаткан SPIни жазып алыңыз, болбосо жаңы SAны эски сан менен салыштырасыз. Чыгуучу багыт өсүп, кирүүчү багыт тегиз калса, селектор дал келген, бирок жооп кайтпаган, бул иликтөөнү тараптын форвардингине жана өзүнүн саясатына өткөрөт. strongSwanдын IKEv2 конфигурация документтештирүүсү бала SAнын жашоо циклин жана ошол сандардын артындагы кайра ачкычтоо убактысын камтыйт.

Байкоо чекити пакеттин булагынан өзүнчө өзгөрмө. Аппараттык оффлоад ассоциациянын эсептегичтерин көбөйтүшү мүмкүн, ал эми интерфейстеги программалык кармоо эч нерсе көрсөтпөйт, анткени оффлоаддалган пакеттер кармоо отурган илгичти айланып өтөт, кирүү да ушундай эле айырмаланышы мүмкүн. Экөө кайчы келгенде, эсептегичтерди эч нерсе дал келдиби дегенге жооп берүү үчүн, кармоону пакет кандай көрүнгөнүнө жооп берүү үчүн колдонуңуз.

Маршрут, селекторлор жана пакет кайда төрөлдү

Үч нерсени салыштырыңыз: ядро багытыңыз үчүн тандаган маршрут, трафикти туннелге багыттаган саясат жана бала келишкен селекторлор жубу. ip route get 10.2.0.9 from 10.1.0.5 ядро колдоно турган интерфейс менен булакты атайт, бул көбүнчө сиз ойлогон жуп эмес. ip xfrm policy жергиликтүү орнотулган шаблондорду жана селекторлорду көрсөтөт, ал эми swanctl --list-sas тарап эмнеге келишкенин көрсөтөт. Пакетти физикалык интерфейс аркылуу чыгарган издөө саясатка такыр жетпейт, ошондуктан эсептегичтер козголбойт.

Дал келбестиктер эсептегичтен бирдей көрүнгөн бир нече түрдө кездешет. IPv4 селекторунун сыртындагы IPv6 багыты, туура эмес ички тармактан келген булак дареги жана баладан тар саясат — баары бирдей нөлдү берет. Эң тар себепти биринчи оңдоңуз, анткени санды жылдыруу үчүн гана селекторду кеңейтүү туннел эмнени коргоп жатканын өзгөртөт.

Анан пакеттин булагы бар — шлюз өзүнүн операторуна курган тузак. Шлюз өзү жараткан трафик чыгуу саясатына салыштырылат, ал эми кардар үчүн форварддаган пакет форвард саясатына салыштырылат, ошондуктан кутучадан чыккан ping кардар эч качан жүрбөгөн жол менен ийгиликтүү болушу мүмкүн.

Бир кайтарыла турган өзгөртүү жана сындан өтө турган отчет

Бир гана элементти өзгөртүп, ошол эле сурамды кайталап, ошол эле эсептегичтерди окуңуз. Бардык файрвол эрежелерин тазалоо же бардык селекторлорду бир учурда алмаштыруу санды жылдырат жана эмне үчүн экенин айткан далилдерди жок кылат. Экинчи жүргүзүү дагы нөл көрсөтсө, сиз түштөн кийинки убакытты короткондун ордуна бир божомолду жок кылдыңыз.

Табылганы башка адам кайталай алган формада жазыңыз: баланын аты, кабыл алынган диапазондор, сиз бекемдеген булак, текшерген багыт, нөлдө калган багыт жана окуп жаткан SPI. Ошол сүйлөм эч ким колдонбогон ассоциацияны трафикти алып, аны четке каккан алыскы колдонмодон ажыратат. Өзгөртүү эсептегичтерди козгобосо, аны артка кайтарыңыз жана жазууну сактаңыз; кийинки адам сиз токтогон жерден баштайт. Буга чейин туннелде эч нерсени кайра куруунун кереги жок болчу, конфигурацияга тийүүдөн мурун дал келүүнү текшерүүнүн мааниси да ушунда.