Atšķirt IKEv2 fragmentāciju no sertifikātu ķēdes problēmas

Tunelis strādāja biroja tīklā un mājās iestrēgst, un žurnāls rāda, ka pirmā apmaiņa pabeidzas, pirms notiek kaut kas cits. Šis modelis norāda uz autentifikācijas apmaiņu, nevis akreditācijas datiem: sertifikātu ķēde padara šo ziņojumu daudz lielāku par iepriekšējo, un ceļš, kam nepatīk lieli datagrammas, to klusi nometīs. Iesaistīti divi atšķirīgi fragmentācijas mehānismi, un zināšana, kuru jūs skatāties, nosaka labojumu.

Divi fragmentācijas mehānismi, viens simptoms

IKEv2 ir savs fragmentācijas paplašinājums, kas definēts RFC 7383, un tas sadala aizsargātos IKE ziņojumus mazākos IKE ziņojumos. Puses vienojas par šo iespēju, un ziņojumu no jauna saliek IKE ieviešana, nevis IP slānis.

Parastā IP fragmentācija ir cits mehānisms ar citu kļūmes režīmu. Maršrutētājs starp pusēm sadala lielu datagrammu vai nomet to un atgriež ICMP ziņojumu, kas, iespējams, nekad nesasniegs sūtītāju. Daži tīkli klusi izmet fragmentus, un dažas starpierīces apstrādā pirmo fragmentu, bet ne pārējos. No lietojumprogrammas viedokļa visi trīs gadījumi izskatās vienādi.

NAT šķērsošana pievieno trešo mainīgo, jo tad ESP tiek ietīts UDP un ārējā pakete kļūst lielāka, vienlaikus izskatoties kā parasta UDP plūsma 4500 portā. Ceļš, kas labi laiž cauri UDP, joprojām var neizdoties ar datagrammu, kas vairs neietilpst.

Izlasiet apmaiņu, kas neizdevās

Meklējiet pāreju, nevis kļūdu. Žurnāls, kas rāda, ka sākotnējā apmaiņa nosūtīta un atbildēta, un pēc tam nekas, stāsta, ka nākamais ziņojums nekad netika pabeigts. Īslaicīgi paaugstiniet žurnāla līmeni un salīdziniet ziņotos izmērus abās pusēs.

Jūs vēlaties noskaidrot, vai atbildētājs vispār redzēja pieprasījumu. Ja iniciators kaut ko nosūtīja un atbildētājam par to nav nekāda ieraksta, problēma ir piegādē. Ja atbildētājs analizēja pieprasījumu un to noraidīja, problēma ir pašā sertifikātā, un fragmentācija ir uzmanības novēršana. Šī atšķirība ir vērtīgāka par lappusi ar noildzes ziņojumiem.

Mainiet ceļu, nevis sertifikātu

Pārbaudiet to pašu klientu, to pašu sertifikātu un to pašu konfigurāciju no cita tīkla. Mobilais hotspot parasti ir lētākais otrais ceļš, un tas patiešām atšķiras no biroja savienojuma, ne tikai nomināli.

Ja rokasspiediens pabeidzas otrajā ceļā, sertifikātu ķēde ir kārtībā un mainīgais ir pirmais ceļš. Ja tas vienādi neizdodas abos, pārtrauciet testēt tīklus un apskatiet pašus ziņojumus. Šis viens salīdzinājums novērš aptuveni pusi iespējamo skaidrojumu.

Izmēriet apmaiņu, pirms kaut ko rediģējat

Iegūstiet ķēdes izmēru un ceļa izmēru. Abi skaitļi ierobežo to, ko rokasspiediens var nosūtīt, un abus var lēti izmērīt:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

Pirmie divi dod sertifikātu skaitu un faila izmēru, kas ir saprātīgs rādītājs tam, cik liels būs autentifikācijas ziņojums. Ping pārbaude ziņo, vai šāda izmēra datagramma izdzīvo ceļā, un saskarnes skaitītāji parāda, vai fragmenti tika izmesti jūsu pusē. Windows vidē līdzvērtīga pārbaude ir ping ar do-not-fragment karodziņu un skaidru lietderīgās kravas izmēru.

Atkārtojiet pārbaudi uz leju, līdz tā izdodas. Lielākais izmērs, kas iziet, ir šī ceļa darba budžets, un tas ir noderīgāks par jebkuru publicēto noklusējuma vērtību.

Salabojiet slāni, kas patiešām ir salauzts

Ja ceļš nomet lielas datagrammas, ieslēdziet IKE fragmentāciju abās pusēs un apstipriniet, ka paplašinājums tika saskaņots, nevis tikai piedāvāts. Ja ceļš slikti apstrādā fragmentus IP līmenī, labojums pieder tur vai ārējās saskarnes MTU, nevis sertifikātu krātuvē.

Ja ķēde ir nevajadzīgi gara, saīsiniet to līdz starpposma sertifikātiem, kas pusei patiešām nepieciešami. Saknes noņemšana, kurai klients jau uzticas, ir saprātīga uzturēšana; starpposma sertifikāta noņemšana nav, un verifikācijas izslēgšana, lai samazinātu ziņojumu, apmaina piegādes problēmu pret drošības problēmu.

Pierakstiet, kuru mehānismu mainījāt un kā rokasspiediens izskatījās pēc tam. Nākamā reize parasti ir citā tīklā ar to pašu simptomu, un tieši piezīme pārvērš divas stundas desmit minūtēs.