D'IPsec-Kand-SA ass op, awer d'Paketzähler bleiwen op null

Du hues den Tunnel opbruecht, de Schlësselwechsel-Timer zielt erof, an allebéid Richtungen liesen nach ëmmer null Paketen. Keng vun dësen zwou Zuelen seet, datt de Peer däin Tunnel verworf huet: eng installéiert CHILD SA mat rouegen Zähler ass den normale Zoustand vun enger Associatioun, déi nach näischt gepasst huet. D'Aarbecht besteet doran, ze beweisen, datt e Paket hätt solle passen, an dann de Punkt ze fannen, wou et de Wee verlooss huet, deen d'Selektoren beschreiwen. Maach dat eemol, an der Rei, a hal d'Ufro tëscht de Versich identesch.

Wat en Nullzähler tatsächlech beweist

Eng CHILD SA ass e Selektorepaar plus d'Schlësselen an d'SPI, déi den Traffic verschlësselen, deen an dës Beräicher fält. Eng ze installéieren heescht just, datt allebéid Peeren iwwer dës Beräicher an déi ofgeleet Schlësselen eens gi sinn; de Kernel hält se Stonnen ouni een eenzegt Paket, dat ukënnt. D'Fro ass also ni, ob den Tunnel existéiert, mä ob iergendee Paket, deen däin Test geschéckt huet, an d'Beräicher gefall ass, déi déi zwee Peeren ausgehandelt hunn. Wann keen dat gemaach huet, bleiwen d'Zähler op null an d'Associatioun leeft um Enn vun hirem Liewen onbenotzt of.

Dësen Ënnerscheed ännert, wat s du als Éischt ënnersichs. Eng verworf Propositioun, en Ausfall vun der Authentifikatioun oder eng stierwend IKE SA dauchen all am Log oder an der SA-Lëscht op, net als en stille Null. En Tunnel, deen propper ausgehandelt gëtt an duerno roueg bleift, weist amplaz op d'Passung, d'Routing oder den Urspronk vum Testtraffic hin.

Schéck ee Flux, deen du beschreiwe kanns, éier s en schécks

Wiel en Zil bannent dem geschützte Subnetz a maach eng nei Verbindung dohinner op; eng Säit, déi s virun enger Stonn gelueden hues, kann aus dem Cache kommen, an eng gecachte Äntwert beréiert den Tunnel ni. Schreif dann véier Wäerter op, wärend d'Ufro nach hypothetesch ass: d'Quelladress, déi d'Applikatioun binden wäert, d'Zil, d'Adressfamill an den Numm oder d'Selektorepaar vum Kand, dat s beuechteks. Dee Rekord ass et, deen en flaachen Zähler an eng testbar Behauptung verwandelt.

D'Quelladress ass de Wäert, deen d'Leit iwwersprangen, an et ass deen, deen den Test am heefegsten briecht. En Laptop mat enger Kabeladress, enger Wi-Fi-Adress an enger Tunneladress kann jidderee dovun binden, je no Route-Lookup, an nëmmen eng ka bannent dem ausgehandelte Beräich leien. Benotz en Instrument, dat d'Quell festhält, wéi ping -I 10.1.0.5 10.2.0.9 oder curl --interface 10.1.0.5, sou datt d'Paket net roueg eng aner Adress ka wielen. Wann de festgehalenen Duerchgang d'Zähler beweegt an deen aneren net, hues du e Routingproblem fonnt an net en IPsec-Problem.

Wéi eng Zuelen s du liese solls, a wou se wunnen

Op Linux dréckt ip -s xfrm state all Associatioun mat enger lifetime current:-Linn aus, där hir Byte- an Paketentotal just zu där SA gehéieren, gefollegt vun enger stats:-Linn fir Replay- a Feelerzuelen. Op engem strongSwan-Peer dréckt swanctl --list-sas eng in-Linn an eng out-Linn pro installéiertem Kand aus, alleng mat enger Byte- an enger Paketenzuel um Enn; déi méi al stroke-Toolen nennen dat selwecht Paar bytes_i an bytes_o. Liest déi zwou Richtungen getrennt, well déi, déi flaach bliwwen ass, ass de Fonnt. Se zesummen ze addéieren verstoppt genau déi Asymmetrie, déi s du siche.

Allbéid Usiichten sinn pro Associatioun, also installéiert e Schlësselwechsel en neit SPI-Paar an deng Basislinie geet op null zréck, ouni datt eppes futti ass. Schreif d'SPI op, déi s beuechteks, ier de Schlësselwechsel-Timer lassgeet, soss vergläichs de eng nei SA mat enger aler Zuel. Wann auswärts klëmmt, während abwärts flaach bleift, huet de Selektor gepasst an d'Äntwert ass ni zréckkomm, wat d'Enquête op d'Weiderleedung vum Peer an op seng eege Politique verréckelt. Dem strongSwan seng IKEv2-Konfiguratiounsdokumentatioun deckt de Liewenszyklus vun der Kand-SA an de Schlësselwechsel-Timing hannert dësen Zuelen of.

Den Observatiounspunkt ass eng eegen Variabel vum Urspronk vum Paket. En Hardware-Offload kann d'Zähler vun der Associatioun erhéijen, während eng Software-Aufnam um Interface näischt weist, well offloaded Paketen den Hook iwwersprangen, op deem d'Aufnam sëtzt, an den Ingress kann op déiselwecht Manéier divergéieren. Wann déi zwee sech net eens sinn, benotz d'Zähler, fir ze äntweren, ob eppes gepasst huet, an d'Aufnam, fir ze äntweren, wéi d'Paket ausgesinn huet.

Route, Selektoren a wou d'Paket gebuer gouf

Vergläich dräi Saachen niefteneen: d'Route, déi de Kernel fir däin Zil wielt, d'Politik, déi den Traffic an den Tunnel leet, an d'Selektorepaar, dat d'Kand ausgehandelt huet. ip route get 10.2.0.9 from 10.1.0.5 nennt d'Interface an d'Quell, déi de Kernel géif benotzen, wat dacks net d'Paar ass, dat s ugeholl hues. ip xfrm policy weist d'Templates an d'Selektoren, déi lokal installéiert sinn, während swanctl --list-sas weist, wat de Peer akzeptéiert huet. En Lookup, deen d'Paket iwwer dat physescht Interface erausschéckt, erreecht d'Politik guer net, also kënnen d'Zähler sech net beweegen.

Mismatcher kommen a verschiddene Formen, déi vun engem Zähler aus identesch ausgesinn. En IPv6-Zil baussen enger IPv4-Selektor, eng Quelladress aus dem falschen Subnetz an eng Politik, déi méi enk ass wéi d'Kand, produzéieren all déiselwecht Null. Fixéier déi enkst Ursaach fir d'éischt, well e Selektor just ze verbreeden, fir eng Zuel ze verréckelen, ännert, wat den Tunnel schützt.

Dann ass do den Urspronk vum Paket, d'Fal, déi en Gateway fir säin eegene Bedreiwer stellt. Traffic, deen de Gateway selwer generéiert, gëtt géint d'Output-Politik gepasst, während e Paket, deen en fir e Client weiderleet, géint d'Forward-Politik gepasst gëtt, also kann e Ping vun der Këscht op engem Wee geléngen, deen keen Client jeemools hëlt.

Eng ëmkehrbar Ännerung an en Rapport, deen en Review iwwersteet

Änner een eenzegt Element, widderhuel déi identesch Ufro a lies déiselwecht Zähler. All Firewall-Reeg ze läschen oder all Selektoren op eemol ze ersetzen wäert eng Zuel beweegen an d'Beweiser zerstéieren, déi dir gesot hunn, firwat. Wann den zweeten Duerchgang nach ëmmer null weist, hues du eng Hypothese eliminéiert amplaz de Nomëtteg ze verschwenden.

Schreif de Fonnt an enger Form, déi een aneren ka reproduzéieren: Kandnumm, akzeptéiert Beräicher, d'Quell, déi s festgehalen hues, d'Zil, dat s getest hues, d'Richtung, déi op null bliwwen ass, an d'SPI, déi s gelies hues. Dee Saz trennt eng Associatioun, déi kee benotzt huet, vun enger wäiter Distanz-Applikatioun, déi den Traffic kritt an en ofgelehnt huet. Dréi d'Ännerung zréck, wann se d'Zähler net beweegt huet, a behal de Rekord; déi nächst Persoun fänkt do un, wou s du opgehal hues. Näischt am Tunnel huet misse nei gebaut ginn, an dat ass de Punkt, d'Passung ze préiwen, ier s d'Konfiguratioun beréierst.