IKEv2 фрагментациясын сертификаттар чынжырынын көйгөйүнөн ажыратуу

Туннель кеңсе тармагында иштеп, үйдө токтоп калды, ал эми журнал биринчи алмашуу башка эч нерсе боло электе бүткөнүн көрсөтөт. Бул үлгү кирүү маалыматтарын эмес, аутентификация алмашуусун көрсөтөт: сертификаттар чынжыры бул билдирүүнү мурункусунан алда канча чоң кылат, ал эми чоң датаграммаларды жактырбаган жол аны үнсүз таштап кетет. Эки башка фрагментация механизми катышат, жана кайсынысын карап жатканыңызды билүү оңдоону аныктайт.

Эки фрагментация механизми, бир симптом

IKEv2нин өз фрагментация кеңейтүүсү бар, ал RFC 7383 ичинде аныкталган жана корголгон IKE билдирүүлөрүн кичирээк IKE билдирүүлөрүнө бөлөт. Тараптар бул мүмкүнчүлүк боюнча сүйлөшөт, ал эми билдирүүнү IP катмары эмес, IKE ишке ашыруусу кайра чогултат.

Кадимки IP фрагментациясы башка ийгиликсиздик режими бар башка механизм. Тараптардын ортосундагы маршрутизатор чоң датаграмманы бөлүктөйт, же аны таштап, жөнөтүүчүгө эч качан жетпеши мүмкүн болгон ICMP билдирүүсүн кайтарат. Айрым тармактар фрагменттерди үнсүз жок кылат, айрым ортолук түзмөктөр биринчи фрагментти иштетет, калганын иштетпейт. Колдонмо көз карашынан үч учур тең бирдей көрүнөт.

NAT аркылуу өтүү үчүнчү өзгөрмөнү кошот, анткени анда ESP UDP ичине оролуп, сырткы пакет чоңоёт, ошол эле учурда 4500 портундагы кадимки UDP трафигине окшошуп көрүнөт. UDPны жакшы өткөргөн жол да батып калбаган датаграммада ийгиликсиз болушу мүмкүн.

Ийгиликсиз болгон алмашууну окуңуз

Катаны эмес, өтүүнү издеңиз. Биринчи алмашуу жөнөтүлүп, жооп берилгенин, андан кийин эч нерсе болбогонун көрсөткөн журнал кийинки билдирүү эч качан аяктабаганын айтат. Журнал деңгээлин убактылуу көтөрүп, эки тараптагы билдирилген өлчөмдөрдү салыштырыңыз.

Аныктагыңыз келгени — жооп берүүчү суроону такыр көрдүбү. Эгер баштоочу бир нерсе жөнөтүп, жооп берүүчүдө ал тууралуу эч кандай жазуу болбосо, көйгөй жеткирүүдө. Эгер жооп берүүчү суроону талдап, четке какса, көйгөй сертификаттын өзүндө, ал эми фрагментация көңүлдү бурмалоо. Бул айырма бир барак таймаут билдирүүлөрүнөн кымбат.

Жолду өзгөртүңүз, сертификатты эмес

Ошол эле кардарды, ошол эле сертификатты жана ошол эле конфигурацияны башка тармактан сынап көрүңүз. Мобилдик хотспот адатта эң арзан экинчи жол, жана ал кеңсе байланышынан чындап эле башка, аты менен гана эмес.

Эгер кол кармашуу экинчи жолдо бүтсө, сертификаттар чынжыры жакшы жана биринчи жол — өзгөрмө. Эгер экөөндө тең бирдей ийгиликсиз болсо, тармактарды сыноону токтотуп, билдирүүлөрдүн өзүн караңыз. Ошол бир салыштыруу мүмкүн болгон түшүндүрмөлөрдүн жарымын жок кылат.

Бир нерсени оңдоодон мурун алмашууну өлчөңүз

Чынжырдын өлчөмүн жана жолдун өлчөмүн алыңыз. Эки сан тең кол кармашуу эмнени жөнөтө аларын чектейт, жана экөөнү тең өлчөө арзан:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

Алгачкы экөө сертификаттардын санын жана файлдын өлчөмүн берет, бул аутентификация билдирүүсү канчалык чоң болорун эске салган ылайыктуу көрсөткүч. Ping текшерүүсү ошол өлчөмдөгү датаграмманын жолдон аман өткөнүн билдирет, ал эми интерфейс эсептегичтери сиздин тарапта фрагменттердин ташталганын көрсөтөт. Windowsто барабар текшерүү — do-not-fragment желеги жана так пайдалуу жүк өлчөмү менен ping.

Текшерүүнү ийгиликтүү болгонго чейин ылдый карай кайталаңыз. Өткөн эң чоң өлчөм — ошол жолдун иш бюджети, жана ал кандайдыр бир жарыяланган демейки мааниден пайдалуураак.

Чынында сынган катмарды оңдоңуз

Эгер жол чоң датаграммаларды таштаса, эки тарапта тең IKE фрагментациясын күйгүзүңүз жана кеңейтүүгө сунуш гана эмес, сүйлөшүү жүргүзүлгөнүн тастыктаңыз. Эгер жол IP деңгээлинде фрагменттерди начар иштетсе, оңдоо ошол жерге же сырткы интерфейстин MTUсуна таандык, сертификат кампасына эмес.

Эгер чынжыр ашыкча узун болсо, аны тарапка чындап керектүү ортолук сертификаттарга чейин кыскартыңыз. Кардар мурунтан ишенген тамырды алып салуу ылайыктуу тейлөө; ортолук сертификатты алып салуу андай эмес, ал эми билдирүүнү кичирейтүү үчүн текшерүүнү өчүрүү жеткирүү көйгөйүн коопсуздук көйгөйүнө алмаштырат.

Кайсы механизмди өзгөрткөнүңүздү жана андан кийин кол кармашуу кандай болгонун жазып коюңуз. Кийинки учур адатта ошол эле симптом менен башка тармакта болот, ал эми жазуу эки саатты он мүнөткө айландырат.