Барање до базата на податоци виси преку IPsec: прередување на UDP или TCP?
Барање што виси по чисто ракување насочува кон внатрешноста на патеката на тунелот. Три услови одлучуваат дали да се поправи патеката или да се премине на TCP на 443.
Барање што виси по TCP ракување не е проблем со рутирањето. Грешките во рутата го уриваат ракувањето, така што сесија што се воспоставува и потоа замолчува покажува кон внатрешноста на патеката: инспекција, MTU или начинот на кој пристигнуваат UDP пакетите на тунелот. Одлуката пред вас е дали да ја поправите таа патека или да го преместите тунелот на TCP. Три услови го решаваат тоа, и ниту еден не е за базата на податоци.
Класифицирајте го застојот пред да го обвините тунелот
Четири исходи изгледаат исто за корисникот и значат сосема различни работи за инженерот.
| What the client sees | What it rules out |
|---|---|
| Connection refused | Nothing is listening on the address and port the client reached |
| Timeout before the handshake | A filter, a missing route, or the wrong address |
| Handshake completes, query hangs | The session exists, so look at inspection, MTU and packet order |
| Stalls that recover on retry | Often reordering, or a state table entry expiring |
Само последните два реда го оправдуваат времето на тунелот. Одбиена врска преку VPN обично е базата на податоци што слуша само на loopback, што е проблем на слушателот, а истекувањето на времето пред ракувањето е филтер или рута. Ниту едно не се подобрува со менување на инкапсулацијата.
Запишете ја класификацијата прво во тикетот. Тоа е најевтиниот чекор и го отстранува најголемиот дел од просторот за пребарување.
Три услови што одлучуваат помеѓу UDP и TCP
Инкапсулираниот IPsec сообраќај се движи по UDP, а UDP ѝ дава на патеката слобода да прередува и отфрла без да каже некому. Кога прередувањето ги турка пакетите надвор од прозорецот против повторување на тунелот, тие се отфрлаат тивко и внатрешната TCP сесија само чека. Тоа е механизмот зад успешно ракување и барање што никогаш не се враќа.
Поправањето на патеката или враќањето на TCP зависи од три работи. Прво, има ли вистински загуби на пакети на патеката или само прередување? Второ, можете ли да го смените местото каде што се врши инспекцијата или да го исклучите овој тунел од компонентата што прередува? Трето, дали работното оптоварување е чувствително на образецот на застој, на пример многу мултиплексирани сесии што делат една врска?
Ако првиот одговор е загуба, а вториот не,TCP на 443 е прагматичната алтернатива. Ако вториот одговор е да, поправете ја патеката и задржете UDP.
Читајте го записот на огнениот ѕид, а не грешката на апликацијата
Апликацијата пријавува истекување на времето, што не кажува ништо за причината. Сопствениот лог на огнениот ѕид е местото каде што се појавува отфрлањето или блокирањето, затоа филтрирајте по адресите на базата и апликацијата и барајте отфрлања како и прифаќања.Модулите за спречување закани можат да отфрлат пакети без да создадат грешка на ниво на апликација, а тоа е точно формата на барање што виси. Тишината во логот е исто така податок: таа покажува кон нешто што не логира, како прередувањето.
Проверете го и кластерот. Погрешно конфигуриран кластер може да држи сесија во табелата со состојби на еден член додека пакетите одат по патеката на друг член, па одговорите пристигнуваат таму каде што нема состојба. Таквите застои изгледаат случајно и не корелираат со оптоварувањето.
Споредете ги двата краја пред да промените нешто и споредете го редот на пристигнување, а не бројот на пакети:
tcpdump -ni any udp port 4500 -w /tmp/encap.pcap
tcpdump -ni any tcp port 5432 -w /tmp/inner.pcapШто всушност ве чини TCP на 443
Преместувањето на тунелот на TCP го отстранува симптомот на прередување, бидејќи средниот уред сега гледа подреден тек. Тоа создава и TCP врз TCP. Надворешната врска препраќа она што внатрешната веќе го препратила, и една загуба може да ги сопре сите мултиплексирани сесии одеднаш. На чиста патека тоа е невидливо. На патека со загуби лекот е полош од симптомот.
Замената е прифатлива кога алтернативата е никаква поврзаност и треба да се документира како исклучок со одговорно лице, наместо да се прифати како нормално.
Забележете го транспортот, портата, примерок барање и измерениот резултат, плус датумот. Без тој запис следниот инженер го повторува експериментот и исклучокот тивко станува архитектура.
Држете ја одлуката прегледна
Дијагнозата на патеката брзо старее. Средниот уред се заменува, конфигурацијата на модулот се менува, врската се надградува, а причината за TCP на 443 исчезнува додека конфигурацијата останува. Ставете датум за преглед на исклучокот и именувајте го условот што би ви дозволил да се вратите на UDP.
Тестирајте ги двата транспорти со мало барање и со големо множество резултати. Прередувањето се покажува како застои зависни од големината, додека дефектот на слушателот ги сопира двете големини подеднакво.