IKEv2 negyvo partnerio aptikimas netikrina jūsų programos

IKEv2 gyvumo patikra užduoda vieną klausimą: ar kitas partneris vis dar atsako apsaugotame valdymo santykyje. Ji nematuoja, ar vidinė programa sveika, ar už šliuzo yra maršrutas, ar naršymas atrodo greitas. Patikra gali praeiti, nors viskas, kas naudinga už tunelio, žlunga.

Prieš keisdami laikmatį, perskaitykite dviejų rūšių įrodymus atskirai.

Ką gyvumo patikra iš tikrųjų klausia

Gyvumo mainai siunčiami nustatytoje IKE saugos asociacijoje ir tikisi atsakymo per sukonfigūruotą langą. Sėkmė reiškia kad partnerio IKE diegimas vis dar yra ir vis dar pasirengęs kalbėtis. Ji nieko nesako apie vaikines saugos asociacijas, kurios neša srautą, nieko apie maršrutizavimą už šliuzo ir nieko apie paslaugą, dėl kurios atidarėte tunelį. Tai trys atskiri klausimai su trimis atskirais gedimo būdais.

Šis skirtumas lemia, kur žiūrėti, kai sesija nutyla. Partneris, kuris atsakinėja toliau, kai duomenų kelias sugedęs, nurodo į politiką, maršrutizavimą ar paslaugą žemiau. Partneris, kuris nustoja atsakinėti, nurodo į pasiekiamumą arba į paties tolimojo galo būseną.

Perskaitykite saugos asociacijas prieš naršyklę

Valdymo būsena ir duomenų būsena išvardijamos atskirai, kai paklausiate demono, o skaitikliai pasako, ar apskritai buvo bandoma. Niekada neįdiegta vaikinė asociacija visai nepanaši į tą, kuri buvo įdiegta ir paskui nustojo praleisti paketus, nors abi sukelia tą patį naudotojo skundą.

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

Užrašykite būsenų pavadinimus pažodžiui biliete kartu su skaitikliais skundo momentu. Aprašymas kaip tunelis žemyn nuslepia, kuri iš dviejų asociacijų baigėsi, ir paprastai tai vienintelis faktas, kurį verta turėti.

Maršruto gedimas atrodo lygiai kaip negyvas partneris

Šliuzas gali atsakyti į valdymo mainus, kol privatus serveris neprisijungęs, persiųstas maršrutas dingęs arba vidinis vardų sprendimas visiškai žlunga. Kliento požiūriu kiekvienas iš jų atrodo kaip veikianti sesija ir neveikiantis tikslas. Grįžimo kelią tikrinkite taip pat atidžiai kaip ir kelią pirmyn, nes asimetrinis maršrutizavimas tolimoje pusėje tylos atsiranda tik viena kryptimi.

Tikrinkite numatytą programą tiesiogiai ir įvardykite adresą, kurį ji bandė, o ne tikrinkite, ar tunelis veikia. Ping į šliuzą įrodo, kad šliuzas atsako; jis niekada neįrodė, kad atsakė programa. Užrašykite tikslų adresą, kurį programa bandė. Ši eilutė vėliau susiaurina paiešką, ir tai vienintelis faktas, kurį bilietas paprastai praleidžia.

Laikykite laikmačius toli nuo diagnostikos

Aptikimo intervalo trumpinimas nėra našumo pokytis ir neprideda pajėgumo. Esant paketų nuostoliams jis keičia, kaip greitai gedimas atpažįstamas, o tai gali leisti simptomui atrodyti kitaip nieko nepagerinus. Pirmiausia užrašykite tikrąjį gedimo laiką, tada nuspręskite, ar tolerancija netinkama ryšiui, kurį iš tikrųjų turite.

NAT susiejimo atnaujinimai priklauso tai pačiai kategorijai. Jie palaiko išverstą kelią tinkamą naudoti ir nėra įrodymas, kad tolimoji programa veikia.

Visa atkūrimo politika pasako, ką klientas turi daryti, kai partneris paskelbiamas negyvu: paleisti iš naujo, uždaryti ar palaikyti, ir ką gali daryti kitas srautas tuo metu. Be to, tas pats incidentas kas ketvirtį diagnozuojamas iš naujo.