IPsec pakārtotā SA darbojas, bet paketes skaitītāji paliek nullē

Jūs pacēlāt tuneli, atslēgu atjaunošanas taimeris skaita atpakaļ, un abi virzieni joprojām rāda nulli pakešu. Šis skaitļu pāris nenozīmē, ka partneris noraidīja jūsu tuneli: instalēta CHILD SA ar neaktīviem skaitītājiem ir normāls stāvoklis asociācijai, ar ko vēl nekas nav saskanējis. Uzdevums ir pierādīt, ka paketei vajadzēja saskanēt, un pēc tam atrast punktu, kur tā pameta selektoru aprakstīto ceļu. Dariet to vienreiz, secīgi, un saglabājiet pieprasījumu identisku starp palaidēm.

Ko nulle skaitītājs patiešām pierāda

CHILD SA ir selektoru pāris un atslēgas un SPI, kas šifrē šajos diapazonos esošo trafiku. To instalējot, tiek tikai norādīts, ka abas puses vienojušās par šiem diapazoniem un atvasinātajām atslēgām; kodols to turēs stundām ilgi, pat ja neienāks neviena pakete. Tāpēc jautājums nekad nav par to, vai tunelis pastāv, bet par to, vai kāda jūsu testa pakete iekrita divu pušu saskaņotajos diapazonos. Ja neiekrita, skaitītāji paliek nullē, un asociācija beidzas neizmantota savas dzīves beigās.

Šī atšķirība maina to, ko pārbaudāt vispirms. Noraidīts priekšlikums, autentifikācijas kļūme vai mirstoša IKE SA parādās žurnālā vai SA sarakstā, nevis kā klusa nulle. Tunelis, kas tīri vienojas un pēc tam paliek dīkstāvē, drīzāk norāda uz saskaņošanu, maršrutēšanu vai testa trafika izcelsmi.

Nosūtiet plūsmu, ko varat aprakstīt pirms nosūtīšanas

Izvēlieties mērķi aizsargātajā apakštīklā un atveriet uz to jaunu savienojumu; pirms stundas ielādēta lapa var tikt pasniegta no kešatmiņas, un kešatmiņā saglabātā atbilde nekad nepieskaras tunelim. Pēc tam pierakstiet četras vērtības, kamēr pieprasījums vēl ir hipotētisks: avota adresi, ko lietojumprogramma piesaistīs, mērķi, adrešu saimi un novērojamās pakārtotās SA nosaukumu vai selektoru pāri. Tieši šis ieraksts pārvērš plakanu skaitītāju pārbaudāmā apgalvojumā.

Avota adrese ir vērtība, ko cilvēki izlaiž, un tieši tā visbiežāk sabojā testu. Klēpjdators ar vadu adresi, Wi-Fi adresi un tuneļa adresi var piesaistīt jebkuru no tām atkarībā no maršruta meklēšanas, un tikai viena var atrasties saskaņotajā diapazonā. Izmantojiet rīku, kas ļauj piespraust avotu, piemēram, ping -I 10.1.0.5 10.2.0.9 vai curl --interface 10.1.0.5, lai pakete nevarētu klusi izvēlēties citu adresi. Kad piespraustā palaide pārvieto skaitītājus, bet nepiespraustā ne, jūs esat atraduši maršrutēšanas problēmu, nevis IPsec problēmu.

Kurus skaitļus lasīt un kur tie dzīvo

Linux ip -s xfrm state izdrukā katru asociāciju ar rindu lifetime current:, kuras baitu un pakešu kopsumma pieder tikai šai SA, un tai seko rinda stats: atkārtojumu un kļūdu skaitītājiem. strongSwan partnerī swanctl --list-sas parāda vienu rindu in un vienu rindu out katrai instalētajai pakārtotajai SA, un katra beidzas ar baitu un pakešu skaitu; vecākie stroke rīki to pašu pāri sauc bytes_i un bytes_o. Lasiet abus virzienus atsevišķi, jo virziens, kas palika plakans, ir atradums. Tos saskaitot, tiek paslēpta tieši tā asimetrija, ko meklējat.

Abi skati ir pa asociācijai, tāpēc atslēgu atjaunošana instalē jaunu SPI pāri, un jūsu bāzes līnija atgriežas nullē, nekas nesabojājoties. Pierakstiet SPI, ko novērojat, pirms nostrādā atjaunošanas taimeris, citādi salīdzināsiet jaunu SA ar vecu skaitli. Ja izejošais aug, bet ienākošais paliek plakans, selektors saskanēja un atbilde nekad neatgriezās, kas pārvirza izmeklēšanu uz partnera pāradresāciju un tā paša politiku. strongSwan IKEv2 konfigurācijas dokumentācija aptver pakārtotās SA dzīves ciklu un atjaunošanas laiku aiz šiem skaitļiem.

Novērošanas punkts ir atsevišķs mainīgais no paketes izcelsmes. Aparatūras izkraušana var palielināt asociācijas skaitītājus, kamēr programmatūras uztveršana saskarnē neko neuzrāda, jo izkrautās paketes izlaiž āķi, uz kura atrodas uztveršana, un ienākošais virziens var atšķirties tāpat. Kad abi nepiekrīt, izmantojiet skaitītājus, lai atbildētu, vai kaut kas saskanēja, un uztveršanu, lai atbildētu, kā pakete izskatījās.

Maršruts, selektori un kur pakete piedzima

Salīdziniet trīs lietas līdzās: maršrutu, ko kodols izvēlas jūsu mērķim, politiku, kas virza trafiku tunelī, un selektoru pāri, par ko vienojās pakārtotā SA. ip route get 10.2.0.9 from 10.1.0.5 nosauc saskarni un avotu, ko kodols izmantotu, un tas bieži nav tas pāris, ko jūs pieņēmāt. ip xfrm policy parāda lokāli instalētās veidnes un selektorus, bet swanctl --list-sas parāda, par ko vienojās partneris. Meklēšana, kas paketi izsūta pa fizisko saskarni, politiku vispār nesasniedz, tāpēc skaitītāji nevar kustēties.

Nesakritības nāk vairākās formās, kas no skaitītāja izskatās vienādi. IPv6 mērķis ārpus IPv4 selektora, avota adrese no nepareiza apakštīkla un šaurāka par pakārtoto SA politika dod to pašu nulli. Vispirms izlabojiet šaurāko cēloni, jo selektora paplašināšana tikai skaitļa pārvietošanai maina to, ko tunelis aizsargā.

Tālāk ir paketes izcelsme, slazds, ko vārteja uzliek savam operatoram. Trafiku, ko vārteja ģenerē pati, salīdzina ar izejas politiku, bet paketi, ko tā pārsūta klientam, salīdzina ar pārsūtīšanas politiku, tāpēc ping no pašas iekārtas var izdoties ceļā, pa kuru neviens klients nekad neiet.

Viena atgriezeniska izmaiņa un pārskatīšanu izturīga atskaite

Mainiet vienu elementu, atkārtojiet identisku pieprasījumu un nolasiet tos pašus skaitītājus. Visu ugunsmūra noteikumu dzēšana vai visu selektoru nomaiņa uzreiz pārvietos skaitli un iznīcinās pierādījumu, kas pateica, kāpēc. Ja otrā palaide joprojām rāda nulli, jūs esat izslēguši vienu hipotēzi, nevis izšķērdējuši pēcpusdienu.

Pierakstiet atradumu tādā formā, ko cits var atkārtot: pakārtotās SA nosaukums, pieņemtie diapazoni, jūsu piespraustais avots, pārbaudītais mērķis, virziens, kas palika nullē, un SPI, ko lasījāt. Šis teikums atdala asociāciju, ko neviens nav izmantojis, no attālas lietojumprogrammas, kas saņēma trafiku un to noraidīja. Kad izmaiņa nepārvietoja skaitītājus, atgrieziet to atpakaļ un saglabājiet ierakstu; nākamais cilvēks sāk tur, kur jūs apstājāties. Tunelī nekas nebija jāpārbūvē visa šī dēļ, un tieši tajā ir jēga pārbaudīt saskaņošanu pirms konfigurācijas aiztikšanas.