IKEv2-Fragmentéierung vun engem Zertifikatskettenproblem ënnerscheeden

Den Tunnel huet am Bürosnetz funktionéiert a bleift doheem stoen, an de Log weist, datt den éischten Austausch fäerdeg ass, ier nach eppes anescht geschitt. Dëst Muster deit op den Authentifikatiounsaustausch hin, net op d’Zougangsdaten: eng Zertifikatskett mécht dës Noriicht vill méi grouss wéi déi virdrun, an e Wee, deen déck Datagrammen net gär huet, verwerft se roueg. Et sinn zwee verschidde Fragmentéierungsmechanismen am Spill, an ze wëssen, wat ee vun hinne Dir ugesitt, entscheet d’Korrektur.

Zwee Fragmentéierungsmechanismen, ee Symptom

IKEv2 huet seng eege Fragmentéierungserweiderung, definéiert an RFC 7383, déi geschützt IKE-Noriichte an méi kleng IKE-Noriichte spléckt. D’Peeren handelen dës Fäegkeet aus, an eng Noriicht gëtt vun der IKE-Implementéierung nei zesummegesat an net vun der IP-Schicht.

Gewéinlech IP-Fragmentéierung ass en anere Mechanismus mat engem anere Feelmodus. E Router tëscht de Peeren fragmentéiert en déckt Datagramm, oder verwerft et a schéckt eng ICMP-Noriicht zréck, déi den Absender vläicht ni erreecht. E puer Netzwierker verwerfen d’Fragmente roueg, an e puer Mëttelboxen handhaben dat éischt Fragment awer net de Rescht. Aus der Siicht vun der Applikatioun gesinn all dräi Fäll identesch aus.

NAT-Traversal setzt eng drëtt Variabel derbäi, well ESP dann an UDP agepackt gëtt an de baussenzege Pak méi grouss gëtt, während en wéi gewéinlechen UDP-Traffic um Port 4500 ausgesäit. En Wee, deen UDP gutt duerchléisst, kann nach ëmmer u engem Datagramm feelen, dat net méi passt.

Liest den Austausch, dee feelgeschloen ass

Sicht den Iwwergang an net de Feeler. E Log, deen den éischten Austausch geschéckt an geäntwert weist, duerno näischt, seet Iech, datt déi nächst Noriicht ni fäerdeg gouf. Hieft temporär de Log-Niveau an a vergläicht d’gemellt Gréissten op béide Peeren.

Wat Dir feststelle wëllt, ass, ob den Äntwerer d’Ufro iwwerhaapt gesinn huet. Wann den Initiateur eppes geschéckt huet an den Äntwerer huet keng Opzeechnung dovu, ass d’Liwwerung de Problem. Wann den Äntwerer eng Ufro analyséiert an ofgeleent huet, ass den Zertifikat selwer de Problem, an d’Fragmentéierung ass eng Ofleedung. Dës Ënnerscheedung ass méi wäert wéi eng Säit Timeout-Noriichten.

Ännert de Wee, net den Zertifikat

Test dee selwechte Client, dee selwechten Zertifikat an déiselwecht Konfiguratioun vun engem aneren Netz. En mobilen Hotspot ass meeschtens de bëllegsten zweete Wee, an en ass wierklech anescht wéi d’Bürosverbindung, net nëmmen nominell.

Wann den Handshake um zweete Wee fäerdeg geet, ass d’Zertifikatskett an der Rei an den éischte Wee ass d’Variabel. Wann en op béide gläich feelt, stoppt d’Netzwierker ze testen an kuckt d’Noriichten selwer un. Dee enzege Verglach hëlt ongeféier d’Halschent vun de méigleche Erklärungen ewech.

Misst den Austausch, ier Dir eppes ännert

Kritt d’Gréisst vun der Kett an d’Gréisst vum Wee. Béid Zuelen begrenzen, wat den Handshake schécke kann, a béid si bëlleg ze moossen:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

Déi éischt zwee ginn d’Zuel vun den Zertifikater an d’Gréisst vun der Datei, wat en raisonnabelen Indikator ass fir wéi grouss d’Authentifikatiounsnoriicht gëtt. D’Ping-Probe mellt, ob en Datagramm vun där Gréisst de Wee iwwerlieft, an d’Interface-Zieler weisen, ob Fragmente bei Iech verworf goufen. Op Windows ass déi entspriechend Probe e Ping mam do-not-fragment-Fändchen an enger expliziter Notzlaaschtgréisst.

Widderhëlt d’Probe no ënnen, bis se geléngt. Déi gréisst Gréisst, déi duerchkënnt, ass de funktionnelle Budget fir dee Wee, an et ass méi nëtzlech wéi enger publizéierter Standardwäert.

Reparéiert d’Schicht, déi tatsächlech futti ass

Wann de Wee déck Datagrammen verwërft, aktivéiert d’IKE-Fragmentéierung op béide Peeren a bestätegt, datt d’Erweiderung ausgehandelt gouf an net nëmmen ugebueden. Wann de Wee d’Fragmente um IP-Niveau schlecht handhabt, gehéiert d’Korrektur dohin oder an den MTU vum baussenzege Interface, net an de Zertifikatsspäicher.

Wann d’Kett onnéideg laang ass, kürzt se op déi Zwëschenzertifikater, déi e Peer tatsächlich brauch. Eng Wuerzel ewech ze huelen, déi de Client schonn traut, ass raisonnabel Ënnerhalt; en Zwëschenzertifikat ewech ze huelen ass et net, an d’Iwwerpréiwung ofzeschalten, fir eng Noriicht ze verklengeren, tauscht e Liwwerungsproblem géint e Sécherheetsproblem.

Schreift op, wéi een Mechanismus Dir geännert hutt a wéi den Handshake duerno ausgesinn huet. Déi nächst Kéier ass meeschtens an engem aneren Netz mam selwechte Symptom, an d’Notiz ass dat, wat zwou Stonnen an zéng Minutten ëmwandelt.