IPsec ќерка-SA е активна, но бројачите на пакети остануваат нула

Ја кренавте тунелот, тајмерот за обнова на клучевите одбројува, а двата правци уште покажуваат нула пакети. Оваа двојка броеви не значи дека партнерот го одбил вашиот тунел: инсталирана CHILD SA со неактивни бројачи е нормална состојба на асоцијација со која уште ништо не се совпаднало. Задачата е да докажете дека пакетот требало да се совпадне, а потоа да ја најдете точката каде што ја напуштил патеката што ја опишуваат селекторите. Направете го тоа еднаш, по редослед, и држете го барањето идентично меѓу извршувањата.

Што всушност докажува нулестиот бројач

CHILD SA е пар селектори плус клучевите и SPI што го шифрираат сообраќајот што паѓа во тие опсези. Нејзиното инсталирање значи само дека двете страни се согласиле за тие опсези и изведените клучеви; јадрото ќе ја држи со часови без ниту еден пакет да пристигне. Затоа прашањето никогаш не е дали тунелот постои, туку дали некој пакет од вашиот тест паднал во опсезите договорени од двете страни. Ако не, бројачите остануваат на нула и асоцијацијата истекува неискористена на крајот од својот век.

Оваа разлика го менува она што го проверувате прво. Одбиена понуда, неуспех при автентикација или IKE SA што умира се појавуваат во дневникот или во списокот на SA, а не како тивка нула. Тунел што чисто преговара и потоа останува неактивен наместо тоа укажува на совпаѓање, рутирање или потеклото на тест-сообраќајот.

Испратете тек што можете да го опишете пред да го испратите

Изберете дестинација во заштитената подмрежа и отворете нова врска кон неа; страница што сте ја вчитале пред еден час може да се послужи од кешот, а кешираниот одговор никогаш не го допира тунелот. Потоа запишете четири вредности додека барањето е уште хипотетичко: изворната адреса што апликацијата ќе ја врзе, дестинацијата, фамилијата адреси и името или парот селектори на детето што го набљудувате. Токму тој запис го претвора рамниот бројач во проверливо тврдење.

Изворната адреса е вредноста што луѓето ја прескокнуваат и токму таа најчесто го расипува тестот. Пренослив сметач со жичена адреса, Wi-Fi адреса и адреса на тунел може да врзе која било од нив во зависност од пребарувањето на рутата, а само една може да биде во договорениот опсег. Користете алатка што ви дозволува да го прикачите изворот, како ping -I 10.1.0.5 10.2.0.9 или curl --interface 10.1.0.5, за да не може пакетот тивко да избере друга адреса. Кога прикаченото извршување ги поместува бројачите, а неприкаченото не, сте нашле проблем со рутирање, а не проблем со IPsec.

Кои броеви да ги читате и каде живеат

На Linux ip -s xfrm state печати секоја асоцијација со линија lifetime current: чиј вкуп на бајти и пакети припаѓа само на таа SA, по што следи линија stats: за бројачи на повторување и грешки. На strongSwan партнер swanctl --list-sas прикажува по една линија in и по една линија out за секое инсталирано дете, секоја завршува со број на бајти и број на пакети; постарите stroke алатки истиот пар го нарекуваат bytes_i и bytes_o. Читајте ги двата правци одделно, зашто правецот што останал рамен е наодот. Нивното собирање го крие токму онаа асиметрија што ја барате.

Двата прегледа се по асоцијација, па обновата на клучевите инсталира нов пар SPI и вашата основна линија се враќа на нула без ништо да е скршено. Запишете го SPI што го набљудувате пред да се активира тајмерот за обнова, инаку ќе споредувате нова SA со стар број. Ако излезниот расте, а влезниот останува рамен, селекторот се совпаднал и одговорот никогаш не се вратил, што ја преместува истрагата на проследувањето на партнерот и неговата сопствена политика. Документацијата за конфигурација на IKEv2 на strongSwan го покрива животниот циклус на ќерка-SA и времето на обнова зад овие бројки.

Точката на набљудување е посебна променлива од потеклото на пакетот. Хардверското растоварање може да ги зголеми бројачите на асоцијацијата, додека софтверското фаќање на интерфејсот не покажува ништо, зашто растоварените пакети ја прескокнуваат куката на која стои фаќањето, а влезниот правец може да отстапи на ист начин. Кога двете не се согласуваат, користете ги бројачите за да одговорите дали нешто се совпаднало и фаќањето за да одговорите како изгледал пакетот.

Рута, селектори и каде се родил пакетот

Споредете три работи една до друга: рутата што јадрото ја избира за вашата дестинација, политиката што го насочува сообраќајот во тунелот и парот селектори договорен од детето. ip route get 10.2.0.9 from 10.1.0.5 ја именува интерфејсот и изворот што јадрото би ги користело, а тоа често не е парот што сте го претпоставиле. ip xfrm policy ги прикажува локално инсталираните шаблони и селектори, додека swanctl --list-sas покажува за што се согласил партнерот. Пребарување што го испраќа пакетот низ физичкиот интерфејс воопшто не стигнува до политиката, па бројачите не можат да се поместат.

Несовпаѓањата доаѓаат во неколку форми што од бројач изгледаат исто. IPv6 дестинација надвор од IPv4 селектор, изворна адреса од погрешна подмрежа и политика потесна од детето сите даваат иста нула. Прво исправете ја најтесната причина, зашто проширувањето на селектор само за да се помести број го менува она што тунелот го штити.

Потоа е потеклото на пакетот, стапицата што портата ја поставува на сопствениот оператор. Сообраќајот што портата сама го создава се споредува со излезната политика, додека пакетот што го проследува за клиент се споредува со политиката за проследување, па ping од самата машина може да успее на патека по која ниту еден клиент никогаш не оди.

Една повратна промена и извештај што ќе издржи преглед

Сменете еден елемент, повторете го идентичното барање и прочитајте ги истите бројачи. Бришењето на сите правила на огнениот ѕид или замената на сите селектори одеднаш ќе помести број и ќе го уништи доказот што ви кажа зошто. Ако второто извршување уште покажува нула, сте елиминирале една хипотеза наместо да го потрошите попладнето.

Запишете го наодот во форма што друг може да ја повтори: име на детето, прифатени опсези, изворот што сте го прикачиле, дестинацијата што сте ја тестирале, правецот што останал на нула и SPI што сте го читале. Таа реченица ја одвојува асоцијацијата што никој не ја користел од далечна апликација што го примила сообраќајот и го одбила. Вратете ја промената кога не ги поместила бројачите и сочувајте го записот; следниот човек почнува таму каде што вие застанавте. Ништо во тунелот не требаше да се преизгради за сето ова, и токму во тоа е смислата на проверка на совпаѓањето пред да се допре конфигурацијата.