Дупликат IKE пакети: пронајдете го преминот што недостасува

Дневникот го покажува истото IKE барање двапати, некој покажува на мобилниот приврзок и тикетот се затвора со претпоставка. Таа претпоставка е митот: повторениот пакет е набљудување за една размена, а не дијагноза на врска. Препраќањето е нормално однесување со свои правила и се појавува на здрави патишта кога одговорот е бавен. Следете го одговорот пред да обвините интерфејс.

Митот: повтореното барање докажува загуба на една врска

Две различни работи создаваат дупликат и ниту една не го именува виновникот. Барателот може да го повтори барањето затоа што не добил одговор, или точката на снимање може да го прикаже истиот пакет двапати поради тоа каде е прикачена на стекот. Сондата што гледа влез и излез на истиот домаќин со задоволство ќе го запише едниот пакет како два, а операторот што го чита тој дневник нема начин да ја види разликата без идентификаторите на размената. Третирајте го дупликатот како настан на тајмер додека не можете да кажете кој од двата го држите.

Два приврзоци ја влошуваат збунетоста наместо да ја подобрат. Една линија од дневникот именува еден интерфејс, додека одговорот можеби излегол преку другиот, така што интерфејсот во пораката опишува каде е виден пакет, а не формата на разговорот. Затоа првото прашање е која размена ја гледате, а не која врска е дефектна.

Што всушност ви кажува препраќањето

Во IKEv2, препраќањето работи вака: барателот го повторува барањето кога не пристигнал одговор, а одговорниот може повторно да го испрати својот кеширан одговор наместо да пресмета нов. Идентификаторите на пораките припаѓаат на таа размена и токму тоа го прави повтореното барање со истиот идентификатор препознатливо како работа на протоколот, а не како нов обид. Почетниот обид често бара повеќе од изворна адреса или SPI на иницијаторот за поврзување, затоа сопствениот запис за размена на платформата е подобар од список на пакети. IKEv1 следи други правила со други идентификатори, а предупредувањето на добавувачот за дупликат прв пакет не значи исто во сите верзии.

Значи временскиот печат на препраќањето ви кажува дека тајмерот истекол. Не ви кажува кој хоп бил бавен и сигурно не ви кажува дека операторот е виновен. Тоа се одделни тврдења и само второто е корисно во тикет.

Практичната последица е да ја запишете размената пред да донесете заклучок. Забележете ја локалната адреса за прием, патеката на одговорот што ја избра политиката, парот на врсникот и идентификаторите на размената на едно место, бидејќи секое од нив одговара на различно прашање кога записот се чита подоцна.

Четири точки на набљудување како еден синџир

Замислете ја размената како четири алки во синџир, а не како четири одделни места за гледање. Алката држи доказ или останува непозната, а синџирот е информативен онолку колку што е информативна неговата најслаба запишана алка. Табелата подолу е пописот: што може да утврди секоја позиција и што остава недопрено.

Пополнете го синџирот само таму каде што имате пристап, а остатокот означете го како непознат наместо да го изведете. Куката што снима пакети на една машина не кажува ништо за тоа што примила далечната машина, а линијата од дневникот дека барањето е видено не е доказ дека некогаш излегол одговор. Честните празнини се покорисни од запис што изгледа целосен, а е изграден од претпоставки.

Најдете го првиот премин што недостасува

Одете по синџирот од иницијаторот кон надвор и застанете на првата алка без доказ. Ако портата никогаш не го запишува барањето, дефектот е на патеката пред неа. Кога портата го запишува истото барање постојано, а клиентот никогаш не запишува одговор, сомнителна е насоката на враќање: изворна адреса, превод и филтрирање на секоја граница што ја контролирате. Ако одговорот пристигне, а клиентот сепак не напредува, прашањето го напушти транспортот и стана политика или состојба.

Држете ги врсникот и протоколот фиксни додека споредувате и запомнете дека доцнењето, загубата, политиката и состојбата секој создава различна временска линија. Мобилната мрежа не е автоматски причина, а фиксната линија не е автоматски доволно сигурна за секое барање. Снимете ги двете насоки додека размената е жива:

tcpdump -ni any -vv 'udp port 500 or udp port 4500'

Кога пристапот престанува пред далечниот крај, записот сè уште помага ако кажува каде престанува. Снимањето само на иницијаторот може да покаже барање што излегува и одговор што не пристигнува, што го стеснува дефектот на сè по таа кука без да се преправа дека знаете кој хоп го испуштил. Означете ги далечните алки како непознати и оставете следната личност со пристап да ги пополни. Така запишано, записот останува честен и сè уште краток.

Споредете пред да промените нешто. Повторувањето на истото барање кон истиот врсник со истиот протокол ги држи променливите пребројливи, додека ресетирање, обновување клуч или измена на политика меѓу снимањата ја уништува споредбата. Ако промената е неизбежна, снимајте веднаш по неа за да опишуваат пред и по ја истата размена.

Што кажува корисниот извештај

Извештајот што вреди да се дејствува спарува едно барање со неговиот одговор и го именува првиот чекор зад кој нема доказ. Таа реченица издржува читање една недела подоцна од инженер што не бил таму и му дава на следниот човек почетна точка наместо осомничен.

Никогаш не ги ослабувајте проверките на идентитетот и не го проширувајте дозволеното множество протоколи само за да проверите теорија за препраќање. Зачувајте ги оригиналните пакети и записите за настани пред какво било ресетирање, бидејќи ресетирањето го уништува токму материјалот што сте сакале да го соберете и го брише времето што покажувало каде размената заглавила.

Митот е дека еден дупликат докажува вина на операторот. Реалноста е дека еден дупликат докажува дека истекол тајмер, а одговорот живее на патеката на одговорот.