Одговорите на DPD докажуваат дека IKE партнерот е жив, а не дека вашите податоци течат
Одговори за живост, известување за пополнување и стеснети селектори опишуваат три различни работи. Читајте ги одделно пред да обвините еден од нив за застој.
Дневниците на IPsec можат да прикажуваат одговори за живост додека апликацијата пред нив стои, и двата факти можат да бидат точни во исто време. Одговорот на DPD утврдува дека IKE обработката на партнерот одговорила во тој момент; тој ништо не кажува за тоа дали детето SA го носи пакетот што ви е важен. Третирањето на секое предупредување близу дефект како негова причина е начинот на кој проблемот со селектор се дијагностицира како грешка во протоколот. Три набљудувања најчесто се мешаат и тие одговараат на три различни прашања. Читајте ги според врската и целта пред да ги читате според временската ознака.
Што докажува секое набљудување
Табелата го одделува она што секое набљудување го утврдува од она што само го придружува.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Ниту едно од трите не е грешка само по себе. Секое станува интересно само покрај текот што го отстранувате, а редот што не може да се поврзе со конкретен тек е контекст, а не доказ.
Живоста не е здравје на податоците
DPD работи како INFORMATIONAL размена, разговор на контролната рамнина меѓу IKE демони. Одговорот докажува дека IKE процесот на партнерот е достапен и подготвен да одговори, а истекот на време докажува дека не е. Ниту еден резултат не го проверува детето SA, селекторите, патеката за препраќање или одговорот на апликацијата, затоа здрав DPD покрај запрен пренос е кожерентна слика, а не противречност.
Затоа редовите за живост се најмалку корисниот дел од тикетот на податочната рамнина, колку и да изгледаат смирувачки на врвот од дневникот.
Известувањето за пополнување е изјава за пополнување
TFC пополнувањето е најпречитаниот ред во овие дневници. Тоа вели дека пополнување за доверливост на текот на сообраќајот нема да биде прифатено за тоа дете SA, што е изјава за опционална функција за пополнување, а не одбивање на ESP заштитата. Неговото наоѓање близу дефект обично е случајност на зборливост, а вклучувањето или исклучувањето на пополнувањето не менува ништо во покриеноста на селекторите.
Спецификацијата IKEv2 ги дефинира и известувањето и преговарањето за селектори, а ознаката за предупредување на некоја имплементација во ниту еден случај не го заменува значењето на протоколот.
Стеснувањето е потивко и поверојатно важно
Одговорната страна може да прифати подмножество од понудените селектори, а прифатеното множество може да се испечати во неколку записи, еден квалификуван по порта и друг што ги опфаќа сите порти. Читањето само на првиот ред квалификуван по порта го потценува прифатеното; читањето само на широкиот ред го преценува. Споредете го испечатеното предлог со инсталираната политика, бидејќи предлогот е она што го кажале партнерите, а политиката е она што јадрото ќе го совпадне. Кога тие не се совпаѓаат, тунелот постои, а сообраќајот не, што е класична повремена жалба. Обратете ја локалната и оддалечената перспектива кога споредувате партнери, бидејќи локалното на секоја страна е оддалеченото на другата.
Записите специфични за домаќин со ограничување на порта заслужуваат двојно читање, бидејќи токму тие го исклучуваат ICMP или втора порта, оставајќи ping кон портата да работи.
Создадете еден запис за текот што не успева
Запишете извор, одредиште, фамилија на адреси, протокол и порта како што се гледаат при одлуката за заштита, вклучувајќи го секој намерен превод. Тоа се вредностите што мора да се совпаднат со селектор, а тоа се и вредностите што луѓето ги препишуваат од меморија кога тикетот стигнува до трет пар раце.
Потоа идентификувајте го детето SA и неговите насочни бројачи: swanctl --list-sas го дава резимето на асоцијацијата на strongSwan домаќин, а ip -s xfrm state ги дава бројачите. Читајте ги по свеж дозволен барање, а не додека системот е неактивен. Недостатокот на пораст во излезниот сообраќај укажува на изборот или локалната патека; излезниот без соодветен влезен укажува на партнерот, неговото препраќање или неговите одговори.
Завршената размена на апликацијата е над секој од бројачите, затоа тестот треба да заврши кај апликацијата, а не кај индикаторот на тунелот.
Изберете ја корекцијата потоа
Само откако тој запис постои, има корекција за избор: прифатени селектори, рута, филтрирање, имплементација на партнерот или граница што сега ја демонстриравте. Ресетирањето на партнерот менува неколку состојби одеднаш и често го враќа сообраќајот без да објасни која била погрешна, па дефектот се враќа. Чувајте ги исписите на состојбата на јадрото надвор од тикетите, бидејќи можат да содржат клучеви, а тесното резиме е доволно за секој што треба да помогне.
Кога записот противречи на вашата прва теорија, верувајте му на записот и препишете ја теоријата; таа навика вреди повеќе од секој поединечен ред од дневникот што е разгледан овде.