IKEv2 fragmentavimo atskyrimas nuo sertifikatų grandinės problemos

Tunelis veikė biuro tinkle ir stringa namuose, o žurnalas rodo, kad pirmasis apsikeitimas baigiasi prieš bet ką kita. Šis modelis rodo autentifikavimo apsikeitimą, o ne prisijungimo duomenis: sertifikatų grandinė daro tą pranešimą daug didesnį už ankstesnį, o kelias, kuris nemėgsta didelių datagramų, jį tyliai numes. Dalyvauja du skirtingi fragmentavimo mechanizmai, ir žinojimas, kurį iš jų matote, nulemia sprendimą.

Du fragmentavimo mechanizmai, vienas simptomas

IKEv2 turi savo fragmentavimo plėtinį, apibrėžtą RFC 7383, kuris saugomus IKE pranešimus padalija į mažesnius IKE pranešimus. Šalys derasi dėl šios galimybės, o pranešimą iš naujo surenka IKE įgyvendinimas, o ne IP sluoksnis.

Įprastas IP fragmentavimas yra kitas mechanizmas su kitu gedimo režimu. Maršrutizatorius tarp šalių fragmentuoja didelį datagramą arba jį numeta ir grąžina ICMP pranešimą, kuris gali niekada nepasiekti siuntėjo. Kai kurie tinklai tyliai atmeta fragmentus, o kai kurie tarpiniai įrenginiai apdoroja pirmąjį fragmentą, bet ne likusius. Programos požiūriu visi trys atvejai atrodo vienodai.

NAT praėjimas prideda trečią kintamąjį, nes tada ESP įvyniojamas į UDP ir išorinis paketas padidėja, nors atrodo kaip įprastas UDP srautas 4500 prievade. Kelias, kuris gerai praleidžia UDP, vis tiek gali nepavykti su datagrama, kuri nebetelpa.

Perskaitykite nepavykusį apsikeitimą

Ieškokite perėjimo, o ne klaidos. Žurnalas, rodantis, kad pradinis apsikeitimas išsiųstas ir atsakytas, o po to nieko, sako, kad kitas pranešimas niekada nebuvo baigtas. Laikinai padidinkite žurnalo lygį ir palyginkite praneštus dydžius abiejose šalyse.

Norite nustatyti, ar atsakantysis apskritai matė užklausą. Jei iniciatorius ką nors išsiuntė, o atsakantysis neturi jokio įrašo apie tai, problema yra pristatyme. Jei atsakantysis išanalizavo užklausą ir ją atmetė, problema yra pačiame sertifikate, o fragmentavimas yra dėmesio nukreipimas. Šis skirtumas vertas daugiau nei puslapis laukimo pranešimų.

Pakeiskite kelią, o ne sertifikatą

Išbandykite tą patį klientą, tą patį sertifikatą ir tą pačią konfigūraciją iš kito tinklo. Mobilusis hotspotas paprastai yra pigiausias antrasis kelias, ir jis tikrai skiriasi nuo biuro ryšio, o ne tik nominaliai.

Jei rankos paspaudimas baigiasi antruoju keliu, sertifikatų grandinė tvarkinga, o kintamasis yra pirmasis kelias. Jei jis vienodai nepavyksta abiejuose, nustokite testuoti tinklus ir pažiūrėkite į pačius pranešimus. Šis vienas palyginimas pašalina apie pusę galimų paaiškinimų.

Išmatuokite apsikeitimą prieš ką nors redaguodami

Gaukite grandinės dydį ir kelio dydį. Abu skaičiai riboja, ką gali siųsti rankos paspaudimas, ir abu pigiai išmatuojami:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

Pirmieji du duoda sertifikatų skaičių ir failo dydį, o tai yra pagrįstas rodiklis, kokio dydžio bus autentifikavimo pranešimas. Ping testas praneša, ar tokio dydžio datagrama išgyvena kelyje, o sąsajos skaitikliai rodo, ar fragmentai buvo atmesti jūsų pusėje. Windows sistemoje lygiavertis testas yra ping su do-not-fragment vėliavėle ir aiškiu naudingosios apkrovos dydžiu.

Kartokite testą žemyn, kol jis pavyks. Didžiausias praleidžiamas dydis yra to kelio darbo biudžetas, ir jis naudingesnis už bet kokią paskelbtą numatytąją reikšmę.

Pataisykite sluoksnį, kuris iš tikrųjų sulaužytas

Jei kelias atmeta dideles datagramas, įjunkite IKE fragmentavimą abiejose šalyse ir patvirtinkite, kad plėtinys buvo suderėtas, o ne tik pasiūlytas. Jei kelias blogai tvarko fragmentus IP lygmenyje, pataisa priklauso ten arba išorinės sąsajos MTU, o ne sertifikatų saugyklai.

Jei grandinė be reikalo ilga, sutrumpinkite ją iki tarpinių sertifikatų, kurių šaliai tikrai reikia. Šaknies, kuria klientas jau pasitiki, pašalinimas yra pagrįsta priežiūra; tarpinio sertifikato pašalinimas nėra, o patikros išjungimas siekiant sumažinti pranešimą keičia pristatymo problemą į saugumo problemą.

Užsirašykite, kurį mechanizmą pakeitėte ir kaip rankos paspaudimas atrodė po to. Kitas atvejis paprastai būna kitame tinkle su tuo pačiu simptomu, o užrašas yra tai, kas dvi valandas paverčia dešimčia minučių.