IPsec-ийн охин SA ажиллаж байгаа ч пакетын тоолуурууд тэг хэвээр байна

Та туннелийг босгосон, дахин түлхүүрлэх таймер тоолж байна, гэтэл хоёр чиглэл хоёулаа тэг пакет уншиж байна. Тэр хоёр тоо нь хөрш таны туннелийг татгалзсан гэж хэлэхгүй: суулгасан CHILD SA-ийн тоолуур хоосон байх нь түүнтэй юу ч тохироогүй холбоосын хэвийн байдал юм. Ажил нь пакет тохирох ёстой байсныг нотолж, дараа нь селекторуудын тодорхойлсон замаас хаана гарсныг олох явдал юм. Үүнийг нэг удаа, дарааллаар хийж, гүйлтүүдийн хооронд хүсэлтийг ижил байлгаарай.

Тэг тоолуур үнэндээ юуг нотолдог вэ

CHILD SA гэдэг нь селекторын хос ба тэдгээр мужид багтах траффикийг шифрлэдэг түлхүүр ба SPI юм. Үүнийг суулгах нь хоёр тал тэдгээр муж, гаргаж авсан түлхүүрүүдийн талаар санал нэгдсэнийг л илэрхийлнэ; цөм нэг ч пакет ирэхгүйгээр түүнийг хэдэн цаг барьж чадна. Тиймээс асуулт туннель байгаа эсэх биш, харин таны туршилтаас илгээсэн пакет хоёр талын тохиролцсон мужид орсон эсэх юм. Хэрэв аль нь ч ороогүй бол тоолуурууд тэг хэвээр үлдэж, холбоос амьдралынхаа төгсгөлд ашиглагдаагүй дуусна.

Энэ ялгаа нь та юуг эхлэн шалгахад өөрчлөлт оруулна. Татгалзсан санал, баталгаажуулалтын алдаа эсвэл үхэж буй IKE SA бүгд лог эсвэл SA жагсаалтад гардаг, чимээгүй тэг хэлбэрээр биш. Цэвэр тохиролцоод дараа нь хоосон зогсож байгаа туннель нь тохирол, маршрутлалт эсвэл туршилтын траффикийн гарал үүслийг заана.

Илгээхийнхээ өмнө тодорхойлж чадах урсгалыг илгээ

Хамгаалагдсан дэд сүлжээний доторх очих цэгийг сонгоод түүн рүү шинэ холболт нээ; нэг цагийн өмнө ачаалсан хуудас кэшээс өгөгдөж болох бөгөөд кэшлэсэн хариу туннельд хэзээ ч хүрэхгүй. Дараа нь хүсэлт одоо ч таамаглалтай байхад дөрвөн утгыг бичиж ав: аппликейшн холбох эх хаяг, очих цэг, хаягийн гэр бүл, таны ажиглаж буй хүүхдийн нэр эсвэл селекторын хос. Тэр бичлэг л хавтгай тоолуурыг шалгаж болох мэдэгдэл болгоно.

Эх хаяг бол хүмүүсийн алгасдаг утга бөгөөд туршилтыг хамгийн их эвддэг нь ч мөн. Утасны хаяг, Wi-Fi хаяг, туннелийн хаяг бүхий зөөврийн компьютер маршрутын хайлтаас хамаарч аль нэгийг нь холбож чадах бөгөөд зөвхөн нэг нь л тохиролцсон мужид багтаж болно. Эхийг бэхлэх боломж олгодог хэрэгслийг ашигла, жишээ нь ping -I 10.1.0.5 10.2.0.9 эсвэл curl --interface 10.1.0.5, ингэснээр пакет чимээгүйгээр өөр хаяг сонгож чадахгүй. Бэхэлсэн гүйлт тоолуурыг хөдөлгөж, бэхлээгүй гүйлт хөдөлгөхгүй бол та IPsec-ийн биш, маршрутлалтын асуудал олсон байна.

Аль тоог унших, тэд хаана амьдардаг

Linux дээр ip -s xfrm state холбоос бүрийг lifetime current: мөртэй хамт хэвлэдэг бөгөөд түүний байт ба пакетын нийлбэр зөвхөн тэр SA-д хамаарна, дараа нь дахин тоглуулалт ба алдааны тоонд зориулсан stats: мөр ирнэ. strongSwan хөрш дээр swanctl --list-sas суулгасан хүүхэд бүрт нэг in мөр, нэг out мөр хэвлэдэг бөгөөд тус бүр байт ба пакетын тоогоор төгсдөг; хуучин stroke хэрэгсэл мөн тэр хосыг bytes_i ба bytes_o гэж нэрлэдэг. Хоёр чиглэлийг тус тусад нь унш, учир нь хавтгай үлдсэн нь олдвор юм. Тэднийг нэмэх нь таны хайж буй тэгш бус байдлыг яг нуудаг.

Хоёр харагдац хоёулаа холбоос тус бүрийнх, тиймээс дахин түлхүүрлэлт шинэ SPI хос суулгаж, таны суурь тэг рүү юу ч эвдрэлгүй буцна. Дахин түлхүүрлэх таймер ажиллахаас өмнө ажиглаж буй SPI-гээ бичиж ав, эс бөгөөс шинэ SA-г хуучин тоотой харьцуулна. Гарах чиглэл өсөж, орох чиглэл хавтгай хэвээр байвал селектор тохирсон боловч хариу хэзээ ч буцаж ирээгүй бөгөөд энэ нь мөрдөн шалгалтыг хөршийн дамжуулалт ба өөрийнх нь бодлого руу шилжүүлнэ. strongSwan-ийн IKEv2 тохиргооны баримт бичиг нь хүүхэд SA-ийн амьдралын мөчлөг болон тэдгээр тооны ард байгаа дахин түлхүүрлэх хугацааг хамардаг.

Ажиглалтын цэг нь пакетын гарал үүслээс тусдаа хувьсагч юм. Аппаратын оффлоад холбоосын тоолуурыг нэмэгдүүлж болох бол интерфэйс дээрх програм хангамжийн барилт юу ч харуулахгүй, учир нь оффлоадлагдсан пакетууд барилт сууж буй дэгээг алгасдаг ба орох урсгал ч мөн адил зөрж болно. Хоёр нь зөрөх үед тоолуурыг юу ч тохирсон эсэхэд хариулуулахад, барилтыг пакет хэрхэн харагдаж байсанд хариулуулахад ашигла.

Маршрут, селекторууд ба пакет хаана төрсөн

Гурван зүйлийг зэрэгцүүлэн харьцуул: цөм таны очих цэгт сонгох маршрут, траффикийг туннель рүү чиглүүлэх бодлого, хүүхдийн тохиролцсон селекторын хос. ip route get 10.2.0.9 from 10.1.0.5 цөмийн ашиглах интерфэйс ба эхийг нэрлэдэг бөгөөд энэ нь ихэвчлэн таны таамагласан хос биш. ip xfrm policy локалаар суулгасан загвар ба селекторуудыг харуулах бол swanctl --list-sas хөрш юугаар тохиролцсоныг харуулна. Пакетыг физик интерфэйсээр гаргадаг хайлт бодлогод огт хүрэхгүй тул тоолуурууд хөдөлж чадахгүй.

Тохиролцоогүй байдал нь тоолуураас ижил харагддаг хэд хэдэн хэлбэрээр ирдэг. IPv4 селекторын гаднах IPv6 очих цэг, буруу дэд сүлжээнээс гаралтай эх хаяг, хүүхдээс нарийн бодлого бүгд ижил тэгийг үүсгэдэг. Хамгийн нарийн шалтгааныг эхлэн зас, учир нь зөвхөн тоо шилжүүлэхийн тулд селекторыг өргөтгөх нь туннель юуг хамгаалж байгааг өөрчилдөг.

Дараа нь пакетын гарал үүсэл байна, энэ нь гарц өөрийн операторт тавьдаг урхи юм. Гарцын өөрөө үүсгэсэн траффик гарах бодлоготой тулгагдах бол клиентэд зориулж дамжуулж буй пакет дамжуулах бодлоготой тулгагддаг тул хайрцагнаас гарсан ping ямар ч клиент хэзээ ч явахгүй замд амжилттай болж болно.

Нэг буцаах боломжтой өөрчлөлт ба хяналтад тэсвэртэй тайлан

Нэг л элементийг өөрчил, ижил хүсэлтийг давтаж, мөн тэр тоолуурыг унш. Бүх галт ханын дүрмийг цэвэрлэх эсвэл бүх селекторыг нэгэн зэрэг солих нь тоог хөдөлгөж, яагаад гэдгийг хэлсэн нотолгоог устгана. Хоёр дахь гүйлт тэг хэвээр харуулбал та үдээс хойшхи цагийг үрэхгүйгээр нэг таамаглалыг үгүйсгэсэн байна.

Олдворыг өөр хүн давтаж чадах хэлбэрээр бич: хүүхдийн нэр, хүлээн зөвшөөрсөн мужууд, таны бэхэлсэн эх, таны туршсан очих цэг, тэг хэвээр үлдсэн чиглэл, таны уншиж байсан SPI. Тэр өгүүлбэр нь хэний ч ашиглаагүй холбоосыг траффикийг хүлээж аваад татгалзсан алсын аппликейшнээс ялгадаг. Өөрчлөлт тоолуурыг хөдөлгөөгүй бол буцааж, бичлэгээ хадгал; дараагийн хүн таны зогссон газраас эхэлнэ. Үүний тулд туннельд юу ч дахин барих шаардлагагүй байсан бөгөөд тохиргоонд хүрэхээс өмнө тохиролыг шалгахын утга нь ч энэ юм.