DPD-Antwerten beweise, datt den IKE-Peer lieft, net datt Är Daten fléissen
Liewenszeechen-Antwerten, eng Padding-Benoriichtegung an eng verengelt Selektoren beschreiwen dräi verschidden Saachen. Liest se getrennt, ier Dir eng dovun un engem Stopp schëlleg gitt.
IPsec-Logbicher kënnen Liewenszeechen-Antwerten weisen, während d'Applikatioun virun hinnen hänkt, an déi zwou Tatsaachen kënnen zur gläicher Zäit wouer sinn. Eng DPD-Antwert bestätegt, datt d'IKE-Verarbechtung vum Peer zu deem Ament geäntwert huet; si seet näischt doriwwer, ob d'Kand-SA de Paket dréit, deen Iech interesséiert. All Warnung no bei engem Ausfall als seng Ursaach ze behandelen ass de Wee, wéi e Selektorproblem als Protokollfehler diagnostizéiert gëtt. Dräi Observatioune ginn am heefegsten verwiesselt, an si beäntwerten dräi verschidden Froen. Liest se no Zesummenhang an Zweck, ier Dir se no Zäitstempel liest.
Wat all Observatioun beweist
D'Tabell trennt, wat all Observatioun feststellt, vun deem, wat se just begleedt.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Keng vun den dräi ass fir sech genuch e Fehler. All eenzel gëtt just nieft dem Floss interessant, deen Dir debuggt, an eng Zeil, déi net un e bestëmmte Floss ka gebonne ginn, ass Kontext an net Beweis.
Liewenszeechen ass keng Datesantéit
DPD leeft als INFORMATIONAL-Austausch, e Kontrollplang-Gespräch tëscht IKE-Daemonen. Eng Äntwert beweist, datt den IKE-Prozess vum Peer erreechbar an bereet ass ze äntweren, an en Timeout beweist, datt hien et net ass. Keng vun den zwou Resultaten test d'Kand-SA, d'Selektoren, de Weiderleitungspad oder d'Äntwert vun der Applikatioun, dofir ass en gesonden DPD nieft engem hänkege Transfer en zämmenhänkend Bild an net e Widdersproch.
Dofir sinn d'Liewenszeechen-Zeilen dee mannst nëtzlechen Deel vun engem Datenplang-Ticket, esou berouegend se och uewen am Log ausgesinn.
D'Padding-Benoriichtegung ass eng Ausso iwwer Padding
TFC-Padding ass déi Zeil, déi an dëse Logbicher am meeschten iwwerinterpretéiert gëtt. Si seet, datt Padding fir d'Vertraulechkeet vum Trafficfloss fir déi Kand-SA net akzeptéiert gëtt, wat eng Ausso iwwer eng optional Padding-Funktioun ass an net eng Oflehnung vum ESP-Schutz. Se no bei engem Fehler ze fannen ass meeschtens en Zoufall vun der Geschwätzegkeet, an d'Padding un- oder ausschalten ännert näischt un der Selektoren-Deckung.
D'IKEv2-Spezifikatioun definéiert souwuel d'Benoriichtegung wéi och d'Selektoren-Verhandlung, an den Avertissementslabel vun enger Implementatioun ersetzt a kengem vun den zwéi Fäll d'Bedeitung vum Protokoll.
D'Verengelung ass méi roueg a méi wahrscheinlech wichteg
En Äntwerende kann eng Ënnermeng vun de proposéierte Selektoren akzeptéieren, an déi akzeptéiert Ensembel kann iwwer e puer Entréen gedréckt ginn, eng portqualifizéiert an eng aner déi all Porte deckt. Just déi éischt portqualifizéiert Zeil ze liesen ënnerschätzt dat Akzeptéiert; just déi breet Zeil ze liesen iwwerschätzt et. Vergläicht de gedréckte Virschlag mat der installéierter Politik, well de Virschlag ass, wat d'Peere gesot hunn, an d'Politik ass, wat de Kernel wäert passen. Wa se sech net eens sinn, gëtt et den Tunnel an den Traffic net, wat déi klassesch periodesch Plainte ass. Dréit d'lokal an déi distanzt Perspektiv em, wann Dir Peere vergläicht, well dat Lokalt vun all Säit dat Distanzt vun der anerer ass.
Hostspezifesch Entréen mat enger Portbeschränkung si wäert zweemol geliest ze ginn, well si et sinn, déi ICMP oder en zweeten Port ausschléissen, während e Ping op de Gateway weider funktionnéiert.
Baut ee Rekord fir de Floss, deen ausfällt
Notéiert Quell, Destinatioun, Adressfamill, Protokoll a Port, wéi se bei der Schutzentscheedung ze gesinn sinn, inklusiv all bewosst Iwwersetzung. Dat sinn d'Wäerter, déi mussen zu engem Selektor passen, an et sinn och d'Wäerter, déi d'Leit aus dem Gediechtnis néi tippen, wann den Ticket bei en drëtt Paar Hänn kënnt.
Dann identifizéiert d'Kand-SA an hir richtungsbezunnen Zieler: swanctl --list-sas gëtt d'Zesummefassung vun der Associatioun op engem strongSwan-Host, an ip -s xfrm state gëtt d'Zieler. Liest se no enger frëscher erlauter Ufro an net während de System idel ass. Keng Erhéijung vum Austraffic weist op d'Auswiel oder de lokale Wee; Austraffic ouni entspriechend Antraffic weist op de Peer, seng Weiderleitung oder seng Äntwerten.
En ofgeschlossenen Applikatiounsaustausch geet iwwer all Zieler, dofir soll den Test bei der Applikatioun ophalen an net beim Tunnelindikator.
Wielt duerno d'Korrektur
Eréischt wann dee Rekord existéiert, gëtt et eng Korrektur ze wielen: akzeptéiert Selektoren, Route, Filterung, Peer-Implementatioun oder eng Grenz, déi Dir elo bewisen hutt. De Peer zrécksetzen ännert e puer Zou-Stänn op eemol a restauréiert dacks den Traffic, ouni ze erklären, wéi ee falsch war, dofir kënnt den Ausfall zréck. Hält Kernel-Zoustand-Dumps och aus den Ticketen, well se Schlësselen enthalen kënnen an déi schmuel Zesummefassung duergeet fir jiddereen, dee muss hëllefen.
Wann de Rekord Ärer éischter Theorie widdersprécht, gleeft dem Rekord a schreift d'Theorie nei; déi Gewunnecht ass méi wäert wéi all eenzel Logzeil, déi hei diskutéiert gëtt.