IPsec antrinė SA veikia, bet paketų skaitikliai lieka nuliai

Pakėlėte tunelį, raktų atnaujinimo laikmatis skaičiuoja atgal, o abi kryptys vis dar rodo nulį paketų. Ši skaičių pora nereiškia, kad partneris atmetė jūsų tunelį: įdiegta CHILD SA su neaktyviais skaitikliais yra normali asociacijos, su kuria dar niekas nesutapo, būsena. Darbas yra įrodyti, kad paketas turėjo sutapti, o paskui rasti tašką, kuriame jis paliko selektorių aprašytą kelią. Atlikite tai vieną kartą, iš eilės, ir palaikykite užklausą identišką tarp paleidimų.

Ką iš tikrųjų įrodo nulinis skaitiklis

CHILD SA yra selektorių pora ir raktai bei SPI, kurie šifruoja į šiuos intervalus patenkantį srautą. Ją įdiegti reiškia tik tai, kad abi pusės susitarė dėl šių intervalų ir išvestinių raktų; branduolys laikys ją valandų valandas, net jei neatvyks nė vienas paketas. Todėl klausimas niekada nėra, ar tunelis egzistuoja, o ar koks nors jūsų testo paketas pateko į dviejų pusių suderintus intervalus. Jei nepateko, skaitikliai lieka nuliai, o asociacija pasibaigia nenaudojama savo gyvavimo pabaigoje.

Šis skirtumas keičia tai, ką tikrinate pirmiausia. Atmestas pasiūlymas, autentifikavimo klaida ar mirštanti IKE SA pasirodo žurnale arba SA sąraše, o ne kaip tylus nulis. Tunelis, kuris švariai derasi ir paskui lieka neaktyvus, atvirkščiai, nurodo sutapimą, maršrutizavimą arba bandomojo srauto kilmę.

Siųskite srautą, kurį galite aprašyti prieš išsiųsdami

Pasirinkite paskirties tašką apsaugotame potinklyje ir atidarykite naują ryšį į jį; prieš valandą įkeltas puslapis gali būti patiektas iš podėlio, o podėlyje saugomas atsakymas niekada neliečia tunelio. Tada užsirašykite keturias reikšmes, kol užklausa dar hipotetinė: šaltinio adresą, kurį susies programa, paskirties tašką, adresų šeimą ir stebimo antrinės SA pavadinimą arba selektorių porą. Būtent šis įrašas paverčia plokščią skaitiklį patikrinamu teiginiu.

Šaltinio adresas yra reikšmė, kurią žmonės praleidžia, ir būtent ji dažniausiai sugadina testą. Nešiojamasis kompiuteris su laidiniu adresu, Wi-Fi adresu ir tunelio adresu gali susieti bet kurį iš jų pagal maršruto paiešką, o tik vienas gali būti suderintame intervale. Naudokite įrankį, leidžiantį pritvirtinti šaltinį, pavyzdžiui, ping -I 10.1.0.5 10.2.0.9 arba curl --interface 10.1.0.5, kad paketas negalėtų tyliai pasirinkti kito adreso. Kai pritvirtintas paleidimas pajudina skaitiklius, o nepritvirtintas ne, radote maršrutizavimo problemą, o ne IPsec problemą.

Kuriuos skaičius skaityti ir kur jie gyvena

Linux ip -s xfrm state išspausdina kiekvieną asociaciją su eilute lifetime current:, kurios baitų ir paketų suma priklauso tik tai SA, o po jos eina eilutė stats: pakartojimų ir klaidų skaitikliams. strongSwan partnerio swanctl --list-sas rodo po vieną eilutę in ir po vieną eilutę out kiekvienai įdiegtai antrinei SA, ir kiekviena baigiasi baitų bei paketų skaičiumi; senesni stroke įrankiai tą pačią porą vadina bytes_i ir bytes_o. Skaitykite abi kryptis atskirai, nes ta kryptis, kuri liko plokščia, yra radinys. Sudėjus jas kartu paslepiama būtent ta asimetrija, kurios ieškote.

Abu vaizdai yra pagal asociaciją, todėl raktų atnaujinimas įdiegia naują SPI porą, o jūsų bazinė linija grįžta į nulį niekam nesugedus. Užsirašykite SPI, kurį stebite, prieš suveikiant atnaujinimo laikmačiui, kitaip lyginsite naują SA su senu skaičiumi. Jei išeinantis auga, o įeinantis lieka plokščias, selektorius sutapo ir atsakymas niekada negrįžo, todėl tyrimas persikelia į partnerio persiuntimą ir jo pačio politiką. strongSwan IKEv2 konfigūracijos dokumentacija apima antrinės SA gyvavimo ciklą ir atnaujinimo laiką, slypintį už šių skaičių.

Stebėjimo taškas yra atskiras kintamasis nuo paketo kilmės. Aparatinis iškėlimas gali padidinti asociacijos skaitiklius, o programinė įrašymo priemonė sąsajoje nieko nerodo, nes iškelti paketai apeina kabliuką, ant kurio sėdi įrašymas, ir įeinanti kryptis gali nukrypti taip pat. Kai abu nesutaria, skaitikliais atsakykite, ar kas nors sutapo, o įrašu – kaip paketas atrodė.

Maršrutas, selektoriai ir kur paketas gimė

Palyginkite tris dalykus vienas šalia kito: maršrutą, kurį branduolys parenka jūsų paskirties taškui, politiką, kuri nukreipia srautą į tunelį, ir selektorių porą, dėl kurios susitarė antrinė SA. ip route get 10.2.0.9 from 10.1.0.5 įvardija sąsają ir šaltinį, kuriuos branduolys naudotų, ir tai dažnai nėra ta pora, kurią darėte prielaidą. ip xfrm policy rodo vietoje įdiegtus šablonus ir selektorius, o swanctl --list-sas rodo, dėl ko sutarė partneris. Paieška, kuri paketą išsiunčia fizine sąsaja, politikos apskritai nepasiekia, todėl skaitikliai negali judėti.

Nesutapimai būna kelių formų, kurios nuo skaitiklio atrodo vienodai. IPv6 paskirties taškas už IPv4 selektoriaus, šaltinio adresas iš neteisingo potinklio ir siauresnė už antrinę SA politika duoda tą patį nulį. Pirmiausia ištaisykite siauriausią priežastį, nes selektoriaus išplėtimas vien tam, kad pajudėtų skaičius, pakeičia tai, ką tunelis saugo.

Toliau yra paketo kilmė, spąstai, kuriuos tinklo vartai stato savo operatoriui. Srautas, kurį vartai sukuria patys, lyginamas su išėjimo politika, o paketas, kurį jie persiunčia klientui, lyginamas su persiuntimo politika, todėl ping iš pačios mašinos gali pavykti keliu, kuriuo nė vienas klientas niekada neina.

Vienas atšaukiamas pakeitimas ir ataskaita, kuri atlaiko peržiūrą

Pakeiskite vieną elementą, pakartokite identišką užklausą ir perskaitykite tuos pačius skaitiklius. Visų ugniasienės taisyklių ištrynimas arba visų selektorių pakeitimas iš karto pajudins skaičių ir sunaikins įrodymą, kuris pasakė, kodėl. Jei antras paleidimas vis dar rodo nulį, pašalinote vieną hipotezę, o ne praleidote popietę.

Užrašykite radinį tokia forma, kad kitas galėtų pakartoti: antrinės SA pavadinimas, priimti intervalai, jūsų pritvirtintas šaltinis, išbandytas paskirties taškas, kryptis, kuri liko nulis, ir SPI, kurį skaitėte. Šis sakinys atskiria asociaciją, kurios niekas nenaudojo, nuo nuotolinės programos, kuri gavo srautą ir jo atsisakė. Kai pakeitimas nepajudino skaitiklių, grąžinkite jį atgal ir išsaugokite įrašą; kitas žmogus pradeda ten, kur jūs sustojote. Tunele nieko nereikėjo perstatyti dėl viso to, ir būtent tame yra prasmė tikrinti sutapimą prieš liečiant konfigūraciją.