DPD atbildes pierāda, ka IKE partneris ir dzīvs, nevis ka jūsu dati plūst
Dzīvības atbildes, pildījuma paziņojums un sašaurināti selektori apraksta trīs dažādas lietas. Lasiet tos atsevišķi, pirms kādu no tiem vainojat apstāšanās dēļ.
IPsec žurnāli var rādīt dzīvības atbildes, kamēr to priekšā esošā lietojumprogramma stāv, un abi fakti var būt patiesi vienlaikus. DPD atbilde apliecina, ka partnera IKE apstrāde tajā brīdī atbildēja; tā neko nesaka par to, vai bērna SA pārvadā pakešu, kas jums svarīga. Katra brīdinājuma tuvu kļūmei uzskatīšana par tās cēloni ir veids, kā selektora problēma tiek diagnosticēta kā protokola kļūda. Trīs novērojumi visbiežāk tiek sajaukti, un tie atbild uz trim dažādiem jautājumiem. Lasiet tos pēc saistības un mērķa, pirms lasāt pēc laikspiedola.
Ko pierāda katrs novērojums
Tabula atdala to, ko katrs novērojums konstatē, no tā, ko tas tikai pavada.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Neviens no trim nav kļūda pats par sevi. Katrs kļūst interesants tikai blakus plūsmai, kuru atkļūdojat, un rinda, kuru nevar saistīt ar konkrētu plūsmu, ir konteksts, nevis pierādījums.
Dzīvība nav datu veselība
DPD darbojas kā INFORMATIONAL apmaiņa, vadības plaknes saruna starp IKE dēmoniem. Atbilde pierāda, ka partnera IKE process ir sasniedzams un gatavs atbildēt, un taimauts pierāda, ka tas tā nav. Neviens rezultāts nepārbauda bērna SA, selektorus, pārsūtīšanas ceļu vai lietojumprogrammas atbildi, tāpēc vesels DPD blakus apstājušās pārsūtīšanai ir saskaņots attēls, nevis pretruna.
Tāpēc dzīvības rindas ir vismazāk noderīgā datu plaknes biļetes daļa, lai cik nomierinošas tās izskatītos žurnāla augšgalā.
Pildījuma paziņojums ir apgalvojums par pildījumu
TFC pildījums ir visvairāk pārlasītā rinda šajos žurnālos. Tā saka, ka trafika plūsmas konfidencialitātes pildījums netiks pieņemts šai bērna SA, kas ir apgalvojums par neobligātu pildījuma funkciju, nevis ESP aizsardzības noraidījums. Tā atrašana tuvu kļūmei parasti ir runīguma nejaušība, un pildījuma ieslēgšana vai izslēgšana neko nemaina selektoru pārklājumā.
„IKEv2 specifikācija“ nosaka gan paziņojumu, gan selektoru sarunas, un ieviešanas brīdinājuma etiķete nevienā no gadījumiem neaizstāj protokola nozīmi.
Sašaurināšana ir klusāka un, visticamāk, svarīga
Atbildētājs var pieņemt piedāvāto selektoru apakškopu, un pieņemto kopu var izdrukāt vairākos ierakstos, viens kvalificēts pēc porta un otrs aptver visus portus. Lasot tikai pirmo pēc porta kvalificēto rindu, pieņemtais tiek novērtēts par zemu; lasot tikai plašo rindu, tas tiek pārvērtēts. Salīdziniet izdrukāto priekšlikumu ar instalēto politiku, jo priekšlikums ir tas, ko teica partneri, un politika ir tas, kam kodols atbildīs. Kad tie nesakrīt, tunelis pastāv, bet trafiks ne, un tā ir klasiskā periodiskā sūdzība. Salīdzinot partnerus, apgrieziet vietējo un attālo skatījumu, jo katras puses vietējais ir otras attālais.
Ar porta ierobežojumu saistītie resursdatoram raksturīgie ieraksti ir vērti divkārtējas lasīšanas, jo tie ir tie, kas izslēdz ICMP vai otru portu, vienlaikus atstājot ping uz vārteju strādājam.
Izveidojiet vienu ierakstu neveiksmīgajai plūsmai
Pierakstiet avotu, galamērķi, adrešu saimi, protokolu un portu tā, kā tie redzami aizsardzības lēmumā, ieskaitot jebkuru apzinātu tulkojumu. Šīs ir vērtības, kurām jāsakrīt ar selektoru, un šīs ir arī vērtības, ko cilvēki no jauna ieraksta no atmiņas, kad biļete nonāk pie trešā roku pāra.
Pēc tam identificējiet bērna SA un tā virziena skaitītājus: swanctl --list-sas sniedz asociācijas kopsavilkumu strongSwan resursdatorā, un ip -s xfrm state sniedz skaitītājus. Lasiet tos pēc svaiga atļauta pieprasījuma, nevis kamēr sistēma ir dīkstāvē. Izejošā trafika pieauguma neesamība norāda uz atlasi vai vietējo ceļu; izejošais bez atbilstoša ienākošā norāda uz partneri, tā pārsūtīšanu vai tā atbildēm.
Pabeigta lietojumprogrammas apmaiņa pārsniedz jebkuru skaitītāju, tāpēc testam jābeidzas lietojumprogrammā, nevis tuneļa indikatorā.
Pēc tam izvēlieties labojumu
Tikai tad, kad šis ieraksts pastāv, ir labojums, ko izvēlēties: pieņemti selektori, maršruts, filtrēšana, partnera ieviešana vai robeža, kuru tagad esat pierādījis. Partnera atiestatīšana maina vairākus stāvokļus uzreiz un bieži atjauno trafiku, nepaskaidrojot, kurš bija nepareizs, tāpēc kļūme atgriežas. Turiet kodola stāvokļa izgāžņus ārpus biļetēm, jo tajos var būt atslēgas, un šaurs kopsavilkums ir pietiekams ikvienam, kam jāpalīdz.
Kad ieraksts ir pretrunā ar jūsu pirmo teoriju, ticiet ierakstam un pārrakstiet teoriju; šis ieradums ir vērtīgāks par jebkuru atsevišķu šeit apspriesto žurnāla rindu.