Datebank-Ufro hänkt iwwer IPsec: UDP-Ëmuerdnung oder TCP?
Eng Ufro, déi no engem proppere Handshake hänkt, weist an d'Banne vum Tunnelspad. Dräi Konditioune entscheeden, ob de Spad reparéiert gëtt oder op TCP op 443 zréckgefall gëtt.
Eng Ufro, déi nom TCP-Handshake hänkt, ass kee Routingproblem. Routefeeler loosse den Handshake feelgoen, also weist eng Sessioun, déi sech opbaut an duerno schweigt, an d'Banne vum Spad: Inspektioun, MTU oder d'Art a Weis wéi d'UDP-Pakete vum Tunnel ukommen. D'Entscheedung virun Iech ass, ob Dir dee Spad reparéiert oder den Tunnel op TCP plënnert. Dräi Konditioune maachen dat aus, an keng dovun ass iwwer d'Datebank.
Klassifizéiert de Stillstand, ier Dir den Tunnel beschëllegt
Véier Resultater gesi fir e Benotzer d'selwecht aus a bedeiten fir en Ingenieur komplett verschidden Saachen.
| What the client sees | What it rules out |
|---|---|
| Connection refused | Nothing is listening on the address and port the client reached |
| Timeout before the handshake | A filter, a missing route, or the wrong address |
| Handshake completes, query hangs | The session exists, so look at inspection, MTU and packet order |
| Stalls that recover on retry | Often reordering, or a state table entry expiring |
Nëmmen déi zwou lescht Zeile justifiéieren Zäit um Tunnel. Eng ofgelehnte Verbindung iwwer eng VPN ass meeschtens d'Datebank, déi nëmmen op loopback lauschtert, wat e Lauschterproblem ass, an en Timeout virum Handshake ass e Filter oder eng Route. Kee vun deenen zwee gëtt besser, wann ee d'Encapsulation ännert.
Schreift d'Klassifikatioun als éischt an den Ticket. Et ass dee bëllegste Schrëtt an et hëlt de gréissten Deel vum Sichraum ewech.
Dräi Konditiounen, déi tëschent UDP an TCP entscheeden
Encapsuléierten IPsec-Trafic fiert iwwer UDP, an UDP gëtt dem Spad d'Fräiheet, ëmzeuerdnen an ze verwerfen, ouni et engem ze soen. Wann d'Ëmuerdnung Pakete baussent dem Anti-Replay-Fënster vum Tunnel dréckt, ginn se stëll verweidert an d'bannenzeg TCP-Sessioun waart einfach. Dat ass de Mechanismus hannert engem Handshake, deen eenzelt, an enger Ufro, déi ni zréckkënnt.
De Spad reparéieren oder op TCP zréckfallen hänkt vun dräi Saachen of. Éischtens, gëtt et e richtegen Paketverloscht um Spad oder just Ëmuerdnung? Zweetens, kënnt Dir änneren, wou d'Inspektioun geschitt, oder dësen Tunnel aus der Komponent ausschléissen, déi ëmuerdnt? Drëttens, ass d'Aarbechtslaascht sensibel fir de Stillstandsmuster, zum Beispill vill multiplext Sessiounen, déi een eenzege Link deelen?
Wann déi éischt Äntwert Verloscht ass an déi zweet nei,ass TCP op 443 de pragmateschen Ersatz. Wann déi zweet Äntwert jo ass, reparéiert de Spad a behält UDP.
Liest de Rekord vun der Firewall, net de Feeler vun der Applikatioun
D'Applikatioun mellt en Timeout, wat Iech näischt iwwer d'Ursaach seet. De Log vun der Firewall selwer ass d'Plaz, wou de Verwerf oder d'Blockéierung erschéngt, also filtert no den Adresse vun der Datebank an der Applikatioun a sicht no Verwerfer souwéi Akzepten.Bedrohungsverhënnerungs-Bladen kënnen Pakete verwerfen, ouni e Feeler op Applikatiounsniveau ze maachen, an dat ass genau d'Form vun enger Ufro, déi hänkt. Stëllt am Log ass och Daten: et weist op eppes, wat net loggt, wéi d'Ëmuerdnung.
Kuckt och de Cluster. E falsch konfiguréierte Cluster kann eng Sessioun an der Zoustandstabell op engem Member halen, während d'Pakete de Spad vun engem anere Member huelen, also kommen Äntwerten do un, wou keen Zoustand existéiert. Esou Stillstänn gesinn zoufälleg aus a korreléiere net mat der Laascht.
Vergläicht béid Enner, ier Dir eppes ännert, a vergläicht d'Ukommesuerdnung amplaz d'Paketzuelen:
tcpdump -ni any udp port 4500 -w /tmp/encap.pcap
tcpdump -ni any tcp port 5432 -w /tmp/inner.pcapWat TCP op 443 Iech wierklech kascht
Den Tunnel op TCP ze plënneren hëlt d'Ëmuerdnungssymptom ewech, well d'Mëttelbox elo en geuerdneten Stroum gesäit. Et mécht awer och TCP iwwer TCP. D'baussenzeg Verbindung schéckt nach eng Kéier, wat d'bannenzeg schonn nach eng Kéier geschéckt huet, an een eenzege Verloscht kann all multiplext Sessiounen op eemol stoppen. Op engem proppere Spad ass dat onsiichtbar. Op engem mat Verloschter ass d'Kur schlëmmer wéi d'Symptom.
Den Tausch ass akzeptabel, wann d'Alternativ keng Konnektivitéit ass, an et soll als Ausnam mat engem Verantwortlechen dokumentéiert ginn amplaz als normal ugeholl ze ginn.
Hält den Transport, de Port, eng Beispillufro an dat gemoossent Resultat fest, plus den Datum. Ouni dee Rekord widderhëlt den nächsten Ingenieur den Experiment, an d'Ausnam gëtt stëll d'Architektur.
Hält d'Entscheedung iwwerpréifbar
Eng Spaddiagnos altert séier. D'Mëttelbox gëtt ersat, d'Blade-Konfiguratioun ännert sech, de Link gëtt opgerëscht, an de Grond fir TCP op 443 verschwënnt, während d'Konfiguratioun bleift. Setzt en Iwwerpréifungsdatum op d'Ausnam a nennt d'Konditioun, déi Iech erlaabe géif, op UDP zréckzekommen.
Test béid Transporter mat enger klenger Ufro an engem groussen Resultatset. D'Ëmuerdnung weist sech als gréissofhängeg Stillstänn, während e Lauschterfeeler béid Gréissten gläich stoppt.