IKEv2 фрагментацийг сертификатын хэлхээний асуудлаас ялгах

Туннель оффисын сүлжээнд ажиллаж, гэртээ зогсдог, лог нь эхний солилцоо өөр зүйл болохоос өмнө дууссныг харуулдаг. Энэ хэв маяг нь нэвтрэх мэдээлэл биш, баталгаажуулалтын солилцоог заана: сертификатын хэлхээ тэр мессежийг өмнөхөөс нь хамаагүй том болгодог, том датаграммуудыг дургүйцдэг зам түүнийг чимээгүйхэн хаяна. Хоёр өөр фрагментацийн механизм оролцож байгаа бөгөөд та аль нь харж байгаагаа мэдэх нь засварыг шийднэ.

Хоёр фрагментацийн механизм, нэг шинж тэмдэг

IKEv2 нь өөрийн фрагментацийн өргөтгөлтэй бөгөөд энэ нь RFC 7383 дотор тодорхойлогдсон бөгөөд хамгаалагдсан IKE мессежийг жижиг IKE мессеж болгон хуваадаг. Талууд энэ чадварын талаар хэлэлцээр хийдэг, мессежийг IP давхарга биш, IKE хэрэгжилт дахин угсардаг.

Энгийн IP фрагментаци нь өөр бүтэлгүйтлийн горимтой өөр механизм юм. Талуудын хоорондох чиглүүлэгч том датаграммыг хуваана, эсвэл түүнийг хаяж, илгээгчид хэзээ ч хүрэхгүй байж болох ICMP мессеж буцаана. Зарим сүлжээ фрагментуудыг чимээгүйхэн хаядаг, зарим завсрын төхөөрөмж эхний фрагментийг боловсруулдаг ч бусад нь биш. Аппликейшны өнцгөөс гурван тохиолдол ижил харагдана.

NAT дамжуулалт гурав дахь хувьсагчийг нэмдэг, учир нь тэр үед ESP нь UDP дотор ороож, гадна багц томордог, зэрэг 4500 порт дээр энгийн UDP траффик мэт харагддаг. UDP-г сайн дамжуулдаг зам ч багтахгүй болсон датаграмм дээр бүтэлгүйтэж болно.

Бүтэлгүйтсэн солилцоог уншина уу

Алдаа биш, шилжилтийг хай. Эхний солилцоог илгээж хариу авсан, дараа нь юу ч байхгүй гэдгийг харуулсан лог нь дараагийн мессеж хэзээ ч дуусаагүй гэдгийг хэлнэ. Логийн түвшинг түр өсгөж, хоёр талын мэдээлсэн хэмжээг харьцуул.

Таны тогтоохыг хүсч буй зүйл бол хариулагч хүсэлтийг ер нь харсан эсэх юм. Хэрэв санаачлагч ямар нэгэн зүйл илгээсэн бөгөөд хариулагчид түүний ямар ч бүртгэл байхгүй бол асуудал хүргэлтэд байна. Хэрэв хариулагч хүсэлтийг шинжиж татгалзсан бол асуудал сертификат өөрт нь байна, фрагментаци нь анхаарал сарниулах зүйл. Энэ ялгаа нь нэг хуудас хугацаа хэтэрсэн мессежээс илүү үнэ цэнэтэй.

Замыг өөрчил, сертификатыг биш

Ижил клиент, ижил сертификат, ижил тохиргоог өөр сүлжээнээс туршиж үз. Гар утасны хотспот ихэвчлэн хамгийн хямд хоёр дахь зам бөгөөд оффисын холболтоос нэр төдий бус, үнэхээр ялгаатай.

Хэрэв гар барилт хоёр дахь зам дээр дуусвал сертификатын хэлхээ хэвийн, хувьсагч нь эхний зам. Хоёуланд нь ижилхэн бүтэлгүйтвэл сүлжээ туршихыг зогсоож, мессежүүдийг өөрсдийг нь хар. Тэр нэг харьцуулалт боломжтой тайлбарын ойролцоогоор хагасыг арилгана.

Ямар нэгэн зүйл засахаас өмнө солилцоог хэмж

Хэлхээний хэмжээ болон замын хэмжээг ол. Хоёр тоо нь гар барилт юу илгээж болохыг хязгаарладаг, хоёуланг нь хэмжих хямд:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

Эхний хоёр нь сертификатын тоо болон файлын хэмжээг өгдөг бөгөөд энэ нь баталгаажуулалтын мессеж хэр том болохыг харуулах боломжийн үзүүлэлт юм. ping шалгалт нь ийм хэмжээтэй датаграмм замд тэсэж үлдэх эсэхийг мэдээлдэг, интерфейсийн тоолуур таны талд фрагментууд хаягдсан эсэхийг харуулдаг. Windows дээр тэнцэх шалгалт нь do-not-fragment туг болон тодорхой ачааллын хэмжээтэй ping юм.

Амжилттай болтол шалгалтыг доош нь давт. Дамждаг хамгийн том хэмжээ нь тухайн замын ажлын төсөв бөгөөд нийтлэгдсэн ямар ч өгөгдмөл утгаас илүү ашигтай.

Үнэхээр эвдэрсэн давхаргыг зас

Хэрэв зам том датаграммуудыг хаядаг бол хоёр талд IKE фрагментацийг асааж, өргөтгөл зөвхөн санал болгогдоогүй, хэлэлцээр хийгдсэнийг батал. Хэрэв зам IP түвшинд фрагментуудыг муу зохицуулдаг бол засвар нь тэнд эсвэл гадаад интерфейсийн MTU-д хамаарна, сертификатын агуулахад биш.

Хэрэв хэлхээ шаардлагагүй урт бол талд үнэхээр хэрэгтэй завсрын сертификатууд хүртэл богиносго. Клиент аль хэдийн итгэдэг үндсийг арилгах нь зүйтэй арчилгаа; завсрын сертификатыг арилгах нь тийм биш, мессежийг багасгахын тулд шалгалтыг унтраах нь хүргэлтийн асуудлыг аюулгүй байдлын асуудалтай солилцно.

Аль механизмыг өөрчилснөө, дараа нь гар барилт ямар байсныг бичиж үлдээ. Дараагийн тохиолдол ихэвчлэн ижил шинж тэмдэгтэй өөр сүлжээнд болдог бөгөөд тэр тэмдэглэл л хоёр цагийг арван минут болгодог.