Dublēti IKE paketes: atrodiet trūkstošo pāreju

Žurnāls rāda to pašu IKE pieprasījumu divas reizes, kāds norāda uz mobilo augšupceļu, un biļete tiek aizvērta ar minējumu. Šis minējums ir mīts: atkārtota pakete ir novērojums par vienu apmaiņu, nevis saites diagnoze. Pārsūtīšana ir normāla uzvedība ar saviem noteikumiem, un tā parādās veselos ceļos ikreiz, kad atbilde ir lēna. Sekojiet atbildei, pirms vainojat saskarni.

Mīts: atkārtots pieprasījums pierāda zudumu vienā saitē

Divas dažādas lietas rada dublikātu, un neviena nenosauc vainīgo. Pieprasītājs var atkārtot pieprasījumu, jo nav saņēmis atbildi, vai arī uztveršanas punkts var parādīt to pašu paketi divas reizes tāpēc, kur tas ir pievienots steķim. Krāns, kas redz ieeju un izeju tajā pašā resursdatorā, labprāt reģistrēs vienu paketi kā divas, un žurnālu lasošajam operatoram nav veida to atšķirt bez apmaiņas identifikatoriem. Uzskatiet dublikātu par taimera notikumu, līdz varat pateikt, kuru no abiem turat rokā.

Divi augšupceļi sajukumu padara sliktāku, nevis labāku. Viena žurnāla rinda nosauc vienu saskarni, bet atbilde varēja iziet pa otru, tāpēc saskarne ziņojumā apraksta, kur pakete tika redzēta, nevis sarunas formu. Tāpēc pirmais jautājums ir, kuru apmaiņu jūs skatāties, nevis kura saite ir bojāta.

Ko pārsūtīšana patiešām jums saka

IKEv2 gadījumā pārsūtīšana darbojas šādi: pieprasītājs atkārto pieprasījumu, kad atbilde nav ieradusies, un atbildētājs var nosūtīt atkārtoti savu kešatmiņā saglabāto atbildi, nevis aprēķināt jaunu. Ziņojumu identifikatori pieder šai apmaiņai, un tas ir tas, kas atkārtotu pieprasījumu ar to pašu identifikatoru padara atpazīstamu kā protokola darbu, nevis jaunu mēģinājumu. Sākotnējam mēģinājumam korelācijai bieži vajag vairāk nekā avota adresi vai iniciatora SPI, tāpēc platformas pašas apmaiņas ieraksts ir labāks par pakešu sarakstu. IKEv1 ievēro citus noteikumus ar citiem identifikatoriem, un piegādātāja brīdinājums par dublētu pirmo paketi visās versijās nenozīmē vienu un to pašu.

Tātad pārsūtīšanas laikspiedols jums saka, ka taimeris ir beidzies. Tas nesaka, kurš lēciens bija lēns, un noteikti nesaka, ka operators ir vainīgs. Tie ir atsevišķi apgalvojumi, un biļetē noder tikai otrais.

Praktiskās sekas ir reģistrēt apmaiņu pirms secinājuma izdarīšanas. Pierakstiet vietējo saņemšanas adresi, politikas izvēlēto atbildes ceļu, pāra tuple un apmaiņas identifikatorus vienā vietā, jo katrs no tiem atbild uz citu jautājumu, kad ieraksts tiek lasīts vēlāk.

Četri novērojumu punkti kā viena ķēde

Uztveriet apmaiņu kā četrus ķēdes posmus, nevis četras atsevišķas apskates vietas. Posms satur pierādījumus vai paliek nezināms, un ķēde ir tikpat informatīva, cik tās vājākais reģistrētais posms. Zemāk esošā tabula ir uzskaite: ko katra pozīcija var konstatēt un ko tā atstāj neskartu.

Aizpildiet ķēdi tikai tur, kur jums ir piekļuve, un atzīmējiet pārējo kā nezināmu, nevis to izseciniet. Āķis, kas reģistrē paketes vienā mašīnā, neko nesaka par to, ko saņēma tālā mašīna, un žurnāla rinda, ka pieprasījums tika redzēts, nav pierādījums, ka atbilde kādreiz izgāja. Godīgas nepilnības ir noderīgākas par minējumiem būvētu, pilnīgu izskatu radošu ierakstu.

Atrodiet pirmo trūkstošo pāreju

Ejiet pa ķēdi no iniciatora uz āru un apstājieties pie pirmā posma bez pierādījumiem. Ja vārteja pieprasījumu nekad nereģistrē, kļūme ir ceļā pirms tās. Kad vārteja atkārtoti reģistrē to pašu pieprasījumu, bet klients nekad nereģistrē atbildi, aizdomīgs ir atgriešanās virziens: avota adrese, tulkošana un filtrēšana katrā jūsu kontrolētajā robežā. Ja atbilde ierodas un klients joprojām nevirzās tālāk, jautājums ir atstājis transportu un kļuvis par politiku vai stāvokli.

Turiet pāri un protokolu fiksētus, kamēr salīdzināt, un atcerieties, ka aizture, zudumi, politika un stāvoklis katrs rada citu laika līniju. Mobilais tīkls nav automātiski cēlonis, un fiksētā līnija nav automātiski pietiekami uzticama ikvienai prasībai. Ierakstiet abus virzienus, kamēr apmaiņa ir dzīva:

tcpdump -ni any -vv 'udp port 500 or udp port 4500'

Kad piekļuve apstājas pirms tālā gala, ieraksts joprojām palīdz, ja tas saka, kur tā apstājas. Ierakstīšana tikai iniciatorā var parādīt izejošu pieprasījumu un neienākušu atbildi, kas sašaurina kļūmi līdz visam pēc šī āķa, neizliekoties, ka zināt, kurš lēciens to nometa. Atzīmējiet tālos posmus kā nezināmus un ļaujiet nākamajai personai ar piekļuvi tos aizpildīt. Šādi rakstīts ieraksts paliek godīgs un joprojām īss.

Salīdziniet, pirms kaut ko maināt. Tā paša pieprasījuma atkārtošana tam pašam pārim ar to pašu protokolu notur mainīgos saskaitāmus, bet atiestatīšana, atslēgas atjaunošana vai politikas rediģēšana starp ierakstiem iznīcina salīdzinājumu. Ja izmaiņas ir neizbēgamas, ierakstiet no jauna tūlīt pēc tām, lai pirms un pēc joprojām aprakstītu to pašu apmaiņu.

Ko saka noderīgs ziņojums

Rīcības vērts ziņojums sapāro vienu pieprasījumu ar tā atbildi un nosauc pirmo soli, aiz kura nav pierādījumu. Šis teikums iztur lasīšanu nedēļu vēlāk no inženiera, kurš tur nebija, un dod nākamajai personai sākumpunktu, nevis aizdomās turamo.

Nekad nevājiniet identitātes pārbaudes un nepaplašiniet atļauto protokolu kopumu tikai tāpēc, lai pārbaudītu pārsūtīšanas teoriju. Saglabājiet oriģinālās paketes un notikumu ierakstus pirms jebkuras atiestatīšanas, jo atiestatīšana iznīcina tieši to materiālu, ko grasījāties vākt, un izdzēš laiku, kas rādīja, kur apmaiņa iestrēga.

Mīts ir tāds, ka viens dublikāts pierāda operatora vainu. Patiesība ir tāda, ka viens dublikāts pierāda, ka taimeris ir beidzies, un atbilde dzīvo atbildes ceļā.