DPD atsakymai įrodo, kad IKE partneris gyvas, o ne tai, kad jūsų duomenys teka
Gyvybės atsakymai, užpildymo pranešimas ir susiaurinti selektoriai aprašo tris skirtingus dalykus. Skaitykite juos atskirai, prieš kaltindami vieną dėl sustojimo.
IPsec žurnalai gali rodyti gyvybės atsakymus, kol priešais esanti programa stovi, ir abu faktai gali būti teisingi tuo pačiu metu. DPD atsakymas patvirtina, kad partnerio IKE apdorojimas atsakė tuo momentu; jis nieko nesako apie tai, ar vaikinė SA neša paketą, kuris jums svarbus. Kiekvieno įspėjimo prie gedimo laikymas jo priežastimi yra būdas, kuriuo selektoriaus problema diagnozuojama kaip protokolo klaida. Trys stebėjimai painiojami dažniausiai, ir jie atsako į tris skirtingus klausimus. Skaitykite juos pagal ryšį ir paskirtį, prieš skaitydami pagal laiko žymą.
Ką įrodo kiekvienas stebėjimas
Lentelė atskiria, ką kiekvienas stebėjimas nustato, nuo to, ką jis tik lydi.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Nė vienas iš trijų nėra klaida pats savaime. Kiekvienas tampa įdomus tik šalia srauto, kurį derinate, o eilutė, kurios negalima susieti su konkrečiu srautu, yra kontekstas, o ne įrodymas.
Gyvybė nėra duomenų sveikata
DPD veikia kaip INFORMATIONAL mainai, valdymo plokštumos pokalbis tarp IKE demonų. Atsakymas įrodo, kad partnerio IKE procesas pasiekiamas ir pasirengęs atsakyti, o skirtasis laikas įrodo, kad ne. Nė vienas rezultatas netikrina vaikinės SA, selektorių, perdavimo kelio ar programos atsakymo, todėl sveikas DPD šalia sustojusio perdavimo yra nuoseklus vaizdas, o ne prieštaravimas.
Todėl gyvybės eilutės yra mažiausiai naudinga duomenų plokštumos bilieto dalis, kad ir kaip raminančiai jos atrodytų žurnalo viršuje.
Užpildymo pranešimas yra teiginys apie užpildymą
TFC užpildymas yra labiausiai pervertinama šių žurnalų eilutė. Ji sako, kad srauto konfidencialumo užpildymas nebus priimtas tai vaikinei SA, o tai yra teiginys apie pasirenkamą užpildymo funkciją, o ne ESP apsaugos atmetimas. Rasti jį šalia gedimo paprastai yra kalbumo atsitiktinumas, o užpildymo įjungimas ar išjungimas nieko nekeičia selektorių aprėptyje.
„IKEv2 specifikacija“ apibrėžia ir pranešimą, ir selektorių derybas, o įgyvendinimo įspėjimo etiketė nė vienu atveju nepakeičia protokolo reikšmės.
Susiaurinimas yra tylesnis ir labiau tikėtina, kad bus svarbus
Atsakiklis gali priimti pasiūlytų selektorių poaibį, o priimtas rinkinys gali būti išspausdintas keliose įrašuose, vienas kvalifikuotas pagal prievadą, kitas apimantis visus prievadus. Skaitant tik pirmąją pagal prievadą kvalifikuotą eilutę, priimta sumažinama; skaitant tik plačiąją eilutę, ji padidinama. Palyginkite išspausdintą pasiūlymą su įdiegta politika, nes pasiūlymas yra tai, ką pasakė partneriai, o politika yra tai, ką atitiks branduolys. Kai jie nesutampa, tunelis egzistuoja, o srauto nėra, ir tai yra klasikinis periodiškas nusiskundimas. Lygindami partnerius, apverskite vietinę ir nutolusią perspektyvą, nes kiekvienos pusės vietinė yra kitos nutolusi.
Su prievado apribojimu susiję įrašai, būdingi konkrečiam kompiuteriui, verti dvigubo skaitymo, nes būtent jie išskiria ICMP ar antrą prievadą, palikdami ping į tinklų sietuvą veikiantį.
Sukurkite vieną įrašą nepavykstančiam srautui
Užrašykite šaltinį, paskirties vietą, adresų šeimą, protokolą ir prievadą taip, kaip jie matomi apsaugos sprendime, įskaitant bet kokį tyčinį vertimą. Tai yra reikšmės, kurios turi atitikti selektorių, ir tai taip pat reikšmės, kurias žmonės iš naujo įveda iš atminties, kai bilietas pasiekia trečią rankų porą.
Tada identifikuokite vaikinę SA ir jos kryptinius skaitiklius: swanctl --list-sas pateikia asociacijos suvestinę strongSwan pagrindiniame kompiuteryje, o ip -s xfrm state pateikia skaitiklius. Skaitykite juos po naujos leistos užklausos, o ne tada, kai sistema nenaudojama. Jokio siunčiamo srauto padidėjimo nėra, tai rodo į pasirinkimą arba vietinį kelią; siunčiamas be atitinkamo gaunamo rodo į partnerį, jo perdavimą arba jo atsakymus.
Užbaigti programos mainai viršija bet kurį skaitiklį, todėl testas turėtų baigtis programoje, o ne tunelio indikatoriuje.
Tada pasirinkite pataisą
Tik kai šis įrašas egzistuoja, yra ką pasirinkti: priimti selektoriai, maršrutas, filtravimas, partnerio įgyvendinimas arba riba, kurią dabar parodėte. Partnerio nustatymas iš naujo pakeičia kelias būsenas iš karto ir dažnai atkuria srautą nepaaiškindamas, kuri buvo neteisinga, todėl gedimas grįžta. Laikykite branduolio būsenos išrašus už bilietų ribų, nes juose gali būti raktų, o siaura suvestinė pakanka kiekvienam, kuriam reikia padėti.
Kai įrašas prieštarauja jūsų pirmajai teorijai, tikėkite įrašu ir perrašykite teoriją; šis įprotis vertas daugiau nei bet kuri čia aptarta atskira žurnalo eilutė.