Duebel IKE-Paketen: fënnt den fehlenden Iwwergang
Eng widderholl IKE-Ufro ass en Timer-Evenement, keng Diagnos. Baut eng Beweiskette vum Initiator bis zur Äntwert, mat de richtege Versiounsidentifikatoren.
De Log weist déiselwecht IKE-Ufro zweemol, een deit op den mobile Uplink, an den Ticket gëtt mat enger Vermuddung zougemaach. Déi Vermuddung ass de Mythos: e widderhollte Pak ass eng Observatioun iwwer een Auswiesselung, keng Diagnos vun enger Verbindung. Widderhuelung ass normalt Verhalen mat sengen eegene Regelen, an et erschéngt op gesonde Weeër ëmmer wann eng Äntwert lues ass. Follegt der Äntwert ier Dir eng Schnëttstell beschëllegt.
De Mythos: eng widderholl Ufro beweist Verloscht op enger Verbindung
Zwee verschidde Saachen erzeugen en Duebel, an der keng nennt en Schëllegen. De Froe kann eng Ufro widderhuelen, well keng Äntwert ukomm ass, oder de Fangpunkt kann dee selwechte Pak zweemol weisen, well hie soudest um Stack hänkt. En Tap, deen Entrée an Ausgang um selwechten Host gesäit, loggt e Pak gär als zwee, an den Operateur dee dee Log liest huet keng Manéier den Ënnerscheed ouni d'Auswiesselungsidentifikatoren ze gesinn. Behandelt den Duebel als Timer-Evenement bis Dir sôt kënnt wéi ee vun deenen zwee Dir an der Hand hutt.
Zwee Uplinke maachen d'Duerchernee schlëmmer amplaz besser. Eng eenzeg Logzeil nennt eng Schnëttstell, wärend d'Äntwert iwwer déi aner erausgaang ka sinn, also beschreift d'Schnëttstell an der Noriicht wou e Pak gesinn gouf an net d'Form vum Gespréich. Dofir ass déi éischt Fro wéi eng Auswiesselung Dir betruecht, an net wéi eng Verbindung defekt ass.
Wat d'Widderhuelung Iech tatsächlech seet
An IKEv2 funktionéiert Widderhuelung sou: de Froe widderhollt eng Ufro wann keng Äntwert ukomm ass, an den Äntwerer kann seng gespäichert Äntwert erëm schécken amplaz eng nei ze berechnen. Noriichtsidentifikatore gehéieren zu där Auswiesselung, an dat ass et wat eng widderhollt Ufro mat dem selwechten Identifikator als schaffende Protokoll erkenntlech mécht an net als neien Versuch. En éischte Versuch brauch dacks méi wéi eng Quelladress oder eng Initiator-SPI fir ze korreléieren, also ass dem Plattform seng eege Auswiesselungsopzeechnung besser wéi eng Paklëscht. IKEv1 follegt aner Reegelen mat aneren Identifikatoren, an eng Hierstellerwarnung zu engem duebele éischte Pak heescht net iwwer all Versiounen datselwecht.
Also en Zäitstempel vun der Widderhuelung seet Iech datt en Timer ofgelaf ass. Hie seet Iech net wéi ee Sprong lues war, an hie seet sécher net datt den Operateur schold ass. Dat sinn getrennte Behauptungen, an nëmmen déi zweet ass an engem Ticket nëtzlech.
D'praktesch Konsequenz ass d'Auswiesselung ze notéieren ier Dir eng Konklusioun zitt. Nott Dir d'lokal Empfangsadress, de vun der Politik gewielten Äntwertswee, den Peer-Tupel an d'Auswiesselungsidentifikatoren op eng Plaz, well jiddweree vun hinnen eng aner Fro beäntwert wann d'Opzeechnung méi spéit gelies gëtt.
Véier Observatiounspunkten als eng Kette
Betruecht d'Auswiesselung als véier Memberen an enger Kette an net als véier getrennte Plazen ze kucken. E Member hält Beweiser oder bleift onbekannt, an d'Kette ass nëmme sou informativ wéi hire schwächste notéierte Member. D'Tabell hei drënner ass d'Inventar: wat all Positioun feststelle kann a wat se onberéiert léisst.
| Positioun | Beweis deen se ka liwweren | Wat se oppe léisst |
|---|---|---|
| Den Initiator schéckt | Eng Ufro huet dësen Host verlooss | Ob se de Peer erreecht huet |
| Den Äntwerer empfängt | D'Ufro ass ukomm | Ob eng Äntwert erstallt gouf |
| Den Äntwerer schéckt | Eng Äntwert huet de Gateway verlooss | Ob se den intendéierte Wee gefollegt huet |
| Den Initiator empfängt | D'Auswiesselung gouf fäerdeg | Ob d'Politik d'Resultat acceptéiert huet |
Fëllt d'Kette nëmmen do wou Dir Accès hutt, a markéiert de Rescht als onbekannt amplaz en ofzeleeden. En Hook deen Paken op enger Maschinn opzeechent seet näischt doriwwer wat déi wäit Maschinn kritt huet, an eng Logzeil déi seet datt eng Ufro gesi gouf ass kee Beweis datt iergendwann eng Äntwert erausgaang ass. Éierlech Lücken sinn nëtzlecher wéi eng Opzeechnung déi komplett ausgesäit an aus Vermuddungen gebaut ass.
Fënnt den éischten fehlenden Iwwergang
Gitt d'Kette vum Initiator no baussen a stoppt beim éischte Member ouni Beweis. Wann de Gateway d'Ufro ni loggt, sëtzt de Feeler um Wee virdrun. Wann de Gateway déiselwecht Ufro ëmmer erëm loggt während de Client ni eng Äntwert loggt, ass déi zréck Richtung verdächteg: Quelladress, Iwwersetzung a Filterung op all Grenz déi Dir kontrolléiert. Wann d'Äntwert ukomm an de Client sech awer net weiderbeweegt, huet d'Fro den Transport verlooss an ass Politik oder Zoustand ginn.
Halt de Peer an de Protokoll fest während Dir vergläicht, an denkt drun datt Verzögerung, Verloscht, Politik an Zoustand jiddwereen eng aner Zäitlinn erzeugen. En mobilen Netzwierk ass net automatesch d'Ursaach, an eng fest Linn ass net automatesch zouverlässeg genuch fir all Ufuerderung. Fangt béid Richtungen op während d'Auswiesselung lieweg ass:
tcpdump -ni any -vv 'udp port 500 or udp port 4500'Wann den Accès virum wäiten Enn ophält, hëlleft d'Opzeechnung nach wann se seet wou se ophält. Eng Opnam nëmmen um Initiator kann weisen datt eng Ufro erausgeet an keng Äntwert ukommt, wat de Feeler op alles no deem Hook agegrenzt ouni ze behaapten ze wëssen wéi ee Sprong se fale gelooss huet. Markéiert déi wäit Memberen als onbekannt a loosst déi nächst Persoun mat Accès se fëllen. Sou geschriwwen bleift d'Opzeechnung éierlech an nach ëmmer kuerz.
Vergläicht ier Dir eppes ännert. Déiselwecht Ufro un dee selwechte Peer mat dem selwechte Protokoll ze widderhuelen hält d'Variabele zielbar, während en Reset, eng Schlässelernéierung oder eng Politikännerung tëschent den Opnamen de Verglach zerstéiert. Wann eng Ännerung onvermeidbar ass, hëlt direkt duerno nach eng Opnam op, sou datt virdrun an duerno nach ëmmer déiselwecht Auswiesselung beschreiwen.
Wat en nëtzleche Rapport seet
En Rapport deen et wäert ass drop ze handelen verbënnt eng Ufro mat hirer Äntwert a nennt den éischte Schrëtt hannert deem kee Beweis steet. Dee Saz hält aus e Woch méi spéit vun engem Ingenieur gelies ze ginn deen net do war, an hie gëtt der nächster Persoun eng Startplaz amplaz ee Verdächtegen.
Schwächt ni d'Identitéitspréifungen a vergréissert net dee erlaabte Protokollensembel just fir eng Widderhuelungstheorie ze préifen. Späichert d'Originalpaken an d'Evenementsopzeechnungen virun all Reset, well en Reset genee de Material zerstéiert deen Dir wëllt sammelen an d'Timing läscht deen gewisen huet wou d'Auswiesselung stoppt.
De Mythos ass datt een Duebel beweist datt den Operateur schëlleg ass. D'Realitéit ass datt een Duebel beweist datt en Timer ofgelaf ass, an d'Äntwert lieft um Äntwertswee.