Откривањето мртв партнер на IKEv2 не ја проверува вашата апликација

Проверката на живост на IKEv2 поставува едно прашање: дали другиот партнер сѐ уште одговара на заштитениот контролен однос. Таа не мери дали внатрешната апликација е здрава, дали има маршрута зад порталот или дали прелистувањето изгледа брзо. Проверката може да помине додека сѐ корисно зад тунелот откажува.

Прочитајте ги двата вида докази одделно пред да смените тајмер.

Што всушност прашува проверката на живост

Размената на живост се испраќа во воспоставената IKE безбедносна асоцијација и очекува одговор во конфигуриран прозорец. Успехот значи дека IKE имплементацијата на партнерот сѐ уште е таму и сѐ уште е подготвена да разговара. Таа не кажува ништо за детските безбедносни асоцијации што го носат сообраќајот, ништо за рутирањето зад порталот и ништо за услугата за која го отворивте тунелот. Тоа се три одделни прашања со три одделни начини на откажување.

Таа разлика одлучува каде да гледате кога сесијата ќе замолчи. Партнерот што продолжува да одговара додека патеката на податоци е расипана укажува на политика, рутирање или услуга подолу. Партнерот што престанува да одговара укажува на достапност или на сопствената состојба на далечниот крај.

Прочитајте ги безбедносните асоцијации пред прелистувачот

Контролната состојба и состојбата на податоци се наведени одделно кога ќе го прашате демонот, а бројачите кажуваат дали воопшто било обидување. Детска асоцијација што никогаш не била воспоставена изгледа сосема поинаку од онаа што била воспоставена и потоа престанала да пропушта пакети, иако двете го создаваат истиот кориснички приговор.

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

Запишете ги имињата на состојбите буквално во тикетот, заедно со бројачите во мигот на приговорот. Опис како тунелот падна скрива која од двете асоцијации заврши, и тоа е обично единствениот факт што вреди да се задржи.

Неуспех на маршрута изгледа исто како мртов партнер

Порталот може да одговара на контролни размени додека приватен сервер е офлајн, проследена маршрута недостасува или внатрешното разрешување на имиња целосно откажува. Од гледна точка на клиентот, секој од нив изгледа како сесија што е активна и одредиште што не е. Проверете ја повратната патека исто толку внимателно како и патеката напред, бидејќи асиметричното рутирање на далечната страна создава тишина само во една насока.

Тестирајте ја наменетата апликација директно и наведете ја адресата што ја обидела, наместо да тестирате дали тунелот е активен. Пингот до порталот докажува дека порталот одговара; никогаш не докажал дека апликацијата одговорила. Запишете ја точната адреса што апликацијата ја обидела. Таа низа подоцна го стеснува пребарувањето, и тоа е единствениот факт што тикетот обично го испушта.

Држете ги тајмерите надвор од дијагнозата

Скратувањето на интервалот за откривање не е промена на перформансите и не додава капацитет. При загуба на пакети тоа менува колку брзо се препознава неуспехот, што може да го направи симптомот различен без ништо да подобри. Прво запишете го вистинското време на неуспехот, потоа одлучете дали толеранцијата е погрешна за врската што навистина ја имате.

Освежувањата на NAT мапирањето припаѓаат на истата категорија. Тие ја одржуваат преведената патека употреблива и не се доказ дека далечната апликација работи.

Целосната политика за обновување кажува што треба да прави клиентот кога партнерот е прогласен за мртов: рестартирање, затворање или задржување, и што смее да прави другиот сообраќај додека тоа се случува. Без тоа, истиот инцидент се дијагностицира одново секое тромесечие.