IKEv2 Dead-Peer-Detektioun testt Är App net

D'IKEv2-Liewenszeechenprüfung stellt eng Fro: äntwert deen aneren Peer nach ëmmer op der geschützter Kontrollbezéiung. Si misst net, ob eng intern Applikatioun gesond ass, ob eng Route hannert dem Gateway existéiert, oder ob d'Surfen séier wierkt. D'Prüfung kann duerchgoen, wärend alles Nëtzleches hannert dem Tunnel verseeft.

Liest déi zwou Aarte Beweiser getrennt, ier Dir en Timer ännert.

Wat d'Liewenszeechenprüfung wierklech frot

En Liewenszeechen-Austausch gëtt bannent der etabléierter IKE-Sécherheetsassociatioun geschéckt an erwaart eng Äntwert bannent engem konfiguréierte Fenster. Erfolleg heescht datt dem Peer seng IKE-Implementéierung nach do ass an nach bereet ass ze schwätzen. Si seet näischt iwwer d'Kand-Sécherheetsassociatiounen, déi den Traffic droen, näischt iwwer d'Routing hannert dem Gateway, an näischt iwwer de Service, fir deen Dir den Tunnel opgemaach hutt. Dat sinn dräi getrennt Froen mat dräi getrennte Feelerformen.

Dësen Ënnerscheed entscheet, wou Dir kuckt, wann eng Sëtzung stëll gëtt. E Peer, deen nach äntwert, wärend en Datewee gebrach ass, weist op Politik, Routing oder en Downstream-Service. E Peer, deen ophält z'äntwerten, weist op d'Erreechbarkeet oder op den eegene Zustand vum wäiten Enn.

Liest d'Sécherheetsassociatiounen virum Browser

De Kontrollzustand an den Datezustand ginn getrennt opgezielt, wann Dir den Daemon frot, an d'Comptoire soen, ob iwwerhaapt eppes versicht gouf. Eng Kand-Associatioun, déi ni installéiert gouf, gesäit ganz anescht aus wéi eng, déi installéiert gouf an dann opgehal huet Paketen duerchzeloossen, obwuel béid déiselwecht Benotzerklag produzéieren.

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

Schreift d'Zustandsnimm wuertwiertlech an den Ticket, zesumme mat de Comptoiren am Moment vun der Kl. Eng Beschreiwung wéi Tunnel ënnen verstoppt, wéi eng vun den zwou Associatiounen opgehal huet, an dat ass meeschtens dee eenzege Fakt, deen et wäert ass ze halen.

E Routefeeler gesäit genau aus wéi en doudege Peer

De Gateway kann op Kontrollaustausch äntweren, wärend e private Server offline ass, eng weidergeleet Route feelt, oder d'intern Nummopléisung komplett feelt. Vum Client aus stellt sech jiddwereen dovun als eng Sëtzung duer, déi ugeet, an en Zil, dat net ugeet. Kontrolléiert de Retourwee sou suergfälteg wéi de Virwee, well asymmetresch Routing op der wäiter Säit nëmmen an enger Richtung Stëllt erzeugt.

Test d'virgesinn Applikatioun direkt a nennt d'Adress, déi se versicht huet, amplaz ze testen, ob den Tunnel ugeet. E Ping op de Gateway beweist, datt de Gateway äntwert; et huet ni bewisen, datt d'Applikatioun et gemaach huet. Notéiert déi genee Adress, déi d'Applikatioun versicht huet. Dee String verengt d'Sich méi spéit, an et ass deen eenzege Fakt, deen den Ticket normalerweis ewechléisst.

Halt d'Timer aus der Diagnos

D'Verkierzung vun engem Detektiounsintervall ass keng Leeschtungsännerung a bäit keng Kapazitéit. Bei Pakverloscht ännert et, wéi séier e Feeler erkannt gëtt, wat e Symptom aneschters ka schénge loossen, ouni eppes besser ze maachen. Notéiert als éischt déi richteg Zäit vum Feeler, dann entscheet, ob d'Toleranz falsch ass fir de Link, deen Dir tatsächlech hutt.

NAT-Mapping-Erfrëschungen gehéieren an déiselwecht Kategorie. Si halen en iwwersat Wee brauchbar, an si sinn net de Beweis, datt déi wäit Applikatioun funktionéiert.

Eng komplett Erhuelungspolitik seet, wat de Client maache soll, wann en Peer doud erkläert gëtt: nei starten, zoumaachen oder hale, a wat aneren Traffic däerf maachen, wärend dat geschitt. Ouni dat gëtt dee selwechten Zwëschefall all Quartal vun Null un nei diagnostizéiert.