IKEv2 mirušā partnera noteikšana nepārbauda jūsu lietotni

IKEv2 dzīvības pārbaude uzdod vienu jautājumu: vai otrs partneris joprojām atbild aizsargātajās kontroles attiecībās. Tā nemēra, vai iekšējā lietotne ir vesela, vai aiz vārtejas pastāv maršruts, vai pārlūkošana šķiet ātra. Pārbaude var izturēt, kamēr viss lietderīgais aiz tuneļa sabrūk.

Pirms mainīt taimeri, izlasiet abus pierādījumu veidus atsevišķi.

Ko dzīvības pārbaude patiešām jautā

Dzīvības apmaiņa tiek nosūtīta izveidotajā IKE drošības asociācijā un gaida atbildi konfigurētajā logā. Panākumi nozīmē ka partnera IKE ieviešana joprojām ir tur un joprojām gatava runāt. Tā neko nepasaka par bērnu drošības asociācijām, kas pārvadā trafiku, neko par maršrutēšanu aiz vārtejas un neko par pakalpojumu, kura dēļ atvērāt tuneli. Tie ir trīs atsevišķi jautājumi ar trim atsevišķiem kļūmes veidiem.

Šī atšķirība nosaka, kur skatīties, kad sesija apklust. Partneris, kas turpina atbildēt, kamēr datu ceļš ir salauzts, norāda uz politiku, maršrutēšanu vai lejupēju pakalpojumu. Partneris, kas pārstāj atbildēt, norāda uz sasniedzamību vai uz tālā gala paša stāvokli.

Lasiet drošības asociācijas pirms pārlūka

Kontroles stāvoklis un datu stāvoklis tiek uzskaitīti atsevišķi, kad pajautājat dēmonam, un skaitītāji pasaka, vai vispār kaut kas tika mēģināts. Bērnu asociācija, kas nekad nav instalēta, izskatās pavisam citādi nekā tā, kas tika instalēta un pēc tam pārstāja laist cauri paketes, lai gan abas rada vienu un to pašu lietotāja sūdzību.

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

Pierakstiet stāvokļu nosaukumus burtiski biļetē, kopā ar skaitītājiem sūdzības brīdī. Apraksts kā tunelis lejā noslēpj, kura no abām asociācijām beidzās, un tas parasti ir vienīgais fakts, ko ir vērts paturēt.

Maršruta kļūme izskatās tieši kā miris partneris

Vārteja var atbildēt uz kontroles apmaiņām, kamēr privāts serveris ir bezsaistē, pārsūtītais maršruts trūkst vai iekšējā nosaukumu izšķiršana pilnībā sabrūk. No klienta viedokļa katrs no tiem izskatās kā sesija, kas ir augšā, un galamērķis, kas nav. Pārbaudiet atgriešanās ceļu tikpat rūpīgi kā ceļu uz priekšu, jo asimetriskā maršrutēšana tālajā pusē klusumu rada tikai vienā virzienā.

Pārbaudiet paredzēto lietotni tieši un nosauciet adresi, ko tā mēģināja, nevis pārbaudiet, vai tunelis ir augšā. Ping uz vārteju pierāda, ka vārteja atbild; tas nekad nav pierādījis, ka atbildēja lietotne. Pierakstiet precīzo adresi, ko lietotne mēģināja. Šī virkne vēlāk sašaurina meklēšanu, un tas ir vienīgais fakts, ko biļete parasti izlaiž.

Turiet taimerus ārpus diagnostikas

Noteikšanas intervāla saīsināšana nav veiktspējas izmaiņas un nepievieno jaudu. Pie pakešu zuduma tas maina, cik ātri kļūme tiek atpazīta, kas var likt simptomam izskatīties citādi, neko neuzlabojot. Vispirms pierakstiet īsto kļūmes laiku, pēc tam izlemiet, vai tolerance ir nepareiza tam savienojumam, kāds jums tiešām ir.

NAT kartēšanas atjauninājumi pieder tai pašai kategorijai. Tie uztur tulkoto ceļu lietojamu, un tie nav pierādījums, ka attālā lietotne darbojas.

Pilnīga atjaunošanas politika nosaka, kas klientam jādara, kad partneris tiek pasludināts par mirušu: restartēt, aizvērt vai paturēt, un ko citam trafikam drīkst darīt šajā laikā. Bez tā tas pats incidents katru ceturksni tiek diagnosticēts no jauna.