Жоопсуз чыгуучу ESP VPN өлдү дегенди билдирбейт
ESP ар бир ассоциация үчүн бир багытты коргойт жана эч нерсени ырастабайт. Серверди жоопсуз деп атоодон мурун ички сүйлөшүүнү жана кирүүчү SAны дал келтириңиз.
Сиз IPsec хостундагы трафикти кармадыңыз, ESP пакеттеринин чыгып жатканын көрдүңүз, эч нерсе кайтпаганын көрдүңүз жана алыскы тарап бузулган деген тыянакка келдиңиз. Кармоо бул тыянакты колдобойт. ESP сүйлөшүүнүн бир багытын коргойт жана IP деңгээлинде эч нерсени ырастабайт, ошондуктан кайтарылуучу ESP жоктугу колдонмого айтаар сөзү жок болгонун да, туннелдин өлгөнүн да бирдей жеңил билдириши мүмкүн. Кайсы бир тарапты күнөөлөөдөн мурун ички алмашууну жана кабыл алуучу тараптын абалын окуңуз.
Уламыш: ар бир корголгон пакет жоопко татыктуу
ESP суроо-жооп протоколу эмес. Ал саясат тандагандын баарын шифрлейт жана аутентификациялайт, ал эми кабыл алуучу өз пакетин жаратпастан ошол ички пакетти текшерет, чечмелейт жана жеткирет. Багыттоо эске албаган UDP суроосу же кирүүчү саясат ыргыткан ICMP жаңырыгы туура жыйынтык катары эки багытта тең үнсүздүк жаратат. Ошол үнсүздүктү транспорт бузулушу деп эсептөө сизди эч качан болбогон тармактык бузулушту издеп жөнөтөт.
Бир багыттуу кармоо чындыгында эмнени далилдейт десек, жөнөтүүчүнүн стеги ошол байкоо чекитинде бир нерсени шифрлеген. Келүү тууралуу эч нерсе, жооп берүү ниети тууралуу да эч нерсе. Пайдалуу суроо "эмнеге жооп жок" эмес, "ички сүйлөшүү эмнени өндүрүшү керек эле".
Эки SA, эки SPI, бир сүйлөшүү
IPsec коопсуздук ассоциациялары бир багыттуу, ошондуктан кадимки корголгон алмашуу өзүнчө идентификаторлору жана көз карандысыз абалы бар кирүүчү жана чыгуучу ассоциацияны камтыйт. Чыгуучу пакеттин SPI боюнча кайтарылуучу трафикти издөө ошондуктан категория катасы, анткени ар кандай жооп өнөктөштүн өзүнүн чыгуучу SA астында өз SPI менен жүрөт. Анын ордуна жупту трафик селекторлору жана өнөктөштүн даректери боюнча дал келтириңиз.
Ачкычтарды жаңыртуу көрүнүштү ар жолу бир нече секундга татаалдаштырат, анткени эски жана алмаштыруучу абал кабатташы мүмкүн. Эгер симптом ачкычтарды жаңыртуунун айланасында башталса, туташуунун атын гана эмес, ассоциация идентификаторлорун жана убакыт белгилерин чогуу чогултуңуз.
Бир нерсе жооп берүүдөн мурун кабыл алуучу эмне кылышы керек
| Stage | What to look at | Wrong conclusion if skipped |
|---|---|---|
| Sender encrypts | outbound SA packet counter | "the tunnel is up" |
| Peer receives | inbound SA counter and replay window | "the peer is down" |
| Inner delivery | target host or service logs | "routing is broken" |
| Application replies | the app's own trace | "the reply was dropped" |
| Protected return | the peer's outbound SA | "ESP only works one way" |
Ар бир сап өз алдынча ишке ашпай калат жана ар бир ишке ашпоонун ээси башка, ошондуктан бир кармоо аларды ажырата албайт. Кирүүчү эсептегич келүүнүн жалгыз түз далили, анткени аутентификациядан же кайталоо текшерүүсүнөн өтпөгөн пакет эч кандай жоопсуз ыргытылат. Кирүүчү эсептегичи кыймылдабаган өнөктөш сизге өз саясаты тууралуу эч кандай маалымат бербейт.
Жеткирүү чечмелөөдөн өзүнчө кадам. Абал жарактуу болушу мүмкүн, бирок пакет кийин кирүүчү саясат же ички багыттоону камтыбаган маршрут аркылуу ыргытылышы мүмкүн, ошондуктан таза эсептегич пакет керек жерге барды деп болжолдоонун ордуна максаттуу хост ачык текстти көрдүбү, аны текшериңиз.
Түпкү ESP UDP эмес
Түпкү ESP — IP 50 протоколу, ал TCP да эмес, UDP да эмес жана такыр порттору жок. Ошондуктан UDP 500дө IKEге уруксат берген брандмауэр эрежеси маалымат жолу тууралуу эч нерсе айтпайды, ал эми порттордун айланасында жазылган чыпка туннелге сүйлөшүүгө жол берип, анан ичинде ташылып жаткандын баарын ыргыта алат. Маалымат жолун өзүнчө, чындап байкаган режимде сынаңыз.
NAT артында форма өзгөрөт: корголгон жүк UDP ичинде жүрөт, адатта 4500 портунда, RFC 3948 аныктагандай. Каалаган эрежени жазганга чейин активдүү режимди жазып алыңыз, анткени жолдогу түзмөк түпкү ESP менен UDPге оролгон ESPге такыр башкача мамиле кылышы мүмкүн, ал эми кээ бир ортолук кутулар бирине уруксат берип, экинчисин ыргытат.
Бул окуяга таандык эсептегичтерди окуңуз
strongSwan хостунда swanctl --list-sas ар бир ассоциация боюнча эки багытта пакет жана байт эсептегичтерин билдирет, бул "эч качан келген жок" менен "келди, бирок жооп берилген жок" дегенди ажыратууга жетиштүү. Linuxте /proc/net/xfrm_stat жок абал, жок саясат жана протокол каталары сыяктуу жыйынды каталарды эсептейт. Бул суммалар жүктөөдөн бери топтолот жана бир тармактык аттар мейкиндигине таандык, ошондуктан чоң сан азырынча телөө эмес.
Туура аттар мейкиндигинде окуя терезесинин айланасында эки өлчөө алып, айырмаларды салыштырыңыз, болбосо өткөн аптадагы каталарды бүгүн түштөн кийинки билетке жабыштырасыз. Аттар мейкиндиги менен эки убакыт белгисин билетке жазыңыз, ошондо кийинки окуучу суммага ишенүүнүн ордуна салыштырууну кайталай алат.
Шектүүнү эмес, баскычты атаңыз
Пайдалуу тыянак пакеттин кайда токтогонун айтат: эч качан алынган жок, алынып ыргытылды, жеткирилди бирок жоопсуз калды, же жооп берилип, кайтар жолдо жоголду. Алардын ар бири башка ээге жана башка кийинки буйрукка көрсөтөт. "VPN серверинен жооп жок" деген төрт өзүнчө бузулушту кармоо эч качан актабаган бир сүйлөмгө кысып коёт.
Кармоолорду кууш кармаңыз, ал эми чийки ядро абалын билеттерден тышкары кармаңыз, анткени ал хосттон чыкпоого тийиш болгон ачкыч материалын алып жүрүшү мүмкүн. Эсептегичтердин айырмалары жана убакыт белгилери кийинки адамга берүүгө татыктуу бөлүктөр.