DPD प्रतिसाद सिद्ध करतात की IKE पीअर जिवंत आहे, तुमचा डेटा वाहतो आहे हे नाही
जिवंतपणाचे प्रतिसाद, पॅडिंग सूचना आणि आकुंचित सिलेक्टर तीन वेगळ्या गोष्टी वर्णन करतात. थांबण्यासाठी एकाला दोष देण्यापूर्वी ते स्वतंत्रपणे वाचा.
IPsec लॉग त्यांच्यासमोरील अनुप्रयोग थांबलेला असतानाही जिवंतपणाचे प्रतिसाद दाखवू शकतात, आणि दोन्ही तथ्ये एकाच वेळी खरी असू शकतात. DPD प्रतिसाद स्थापित करतो की पीअरच्या IKE प्रक्रियेने त्या क्षणी उत्तर दिले; तुमच्यासाठी महत्त्वाचे पॅकेट चाइल्ड SA वाहत आहे का याबद्दल तो काहीही सांगत नाही. बिघाडाजवळील प्रत्येक इशाऱ्याला त्याचे कारण मानणे म्हणजे सिलेक्टरची समस्या प्रोटोकॉल बग म्हणून निदान करण्याची पद्धत. तीन निरीक्षणे सर्वाधिक गोंधळली जातात, आणि ती तीन वेगळ्या प्रश्नांची उत्तरे देतात. टाइमस्टॅम्पनुसार वाचण्यापूर्वी ती संबंध आणि उद्देशानुसार वाचा.
प्रत्येक निरीक्षण काय सिद्ध करते
सारणी प्रत्येक निरीक्षण काय स्थापित करते आणि ते केवळ कशासोबत येते हे वेगळे करते.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
तिन्हींपैकी कोणतेही स्वतःच चूक नाही. प्रत्येक केवळ तुम्ही डीबग करत असलेल्या प्रवाहाजवळ रसप्रद होते, आणि विशिष्ट प्रवाहाशी जोडता न येणारी ओळ पुरावा नाही, संदर्भ आहे.
जिवंतपणा म्हणजे डेटाचे आरोग्य नाही
DPD INFORMATIONAL देवघेव म्हणून चालतो, IKE डीमनमधील नियंत्रण-स्तर संवाद. प्रतिसाद सिद्ध करतो की पीअरची IKE प्रक्रिया पोहोचण्यायोग्य आहे आणि उत्तर देण्यास तयार आहे, आणि कालबाह्यता सिद्ध करते की तसे नाही. कोणताही निकाल चाइल्ड SA, सिलेक्टर, अग्रेषण मार्ग किंवा अनुप्रयोगाच्या प्रतिसादाची चाचणी करत नाही, म्हणून थांबलेल्या हस्तांतरणाजवळ निरोगी DPD विरोधाभास नाही, सुसंगत चित्र आहे.
म्हणून लॉगच्या वर कितीही दिलासादायक दिसले तरी जिवंतपणाच्या ओळी डेटा-स्तर तिकिटाचा सर्वात कमी उपयुक्त भाग आहेत.
पॅडिंग सूचना पॅडिंगबद्दलचे विधान आहे
TFC पॅडिंग या लॉगमध्ये सर्वाधिक वाचली जाणारी ओळ आहे. ट्रॅफिक-प्रवाह-गोपनीयतेसाठीचे पॅडिंग त्या चाइल्ड SA साठी स्वीकारले जाणार नाही असे ते सांगते, जे ESP संरक्षणाचा नकार नसून ऐच्छिक पॅडिंग वैशिष्ट्याबद्दलचे विधान आहे. अपयशाजवळ ते आढळणे सामान्यतः शब्दबाहुल्याचा योगायोग असतो, आणि पॅडिंग सुरू किंवा बंद केल्याने सिलेक्टर व्याप्तीत काहीही बदलत नाही.
IKEv2 तपशील सूचना आणि सिलेक्टर वाटाघाटी दोन्ही परिभाषित करतो, आणि अंमलबजावणीचे इशारा लेबल दोन्हीपैकी कोणत्याही स्थितीत प्रोटोकॉलच्या अर्थाची जागा घेत नाही.
आकुंचन अधिक शांत आहे आणि महत्त्वाचे असण्याची शक्यता अधिक आहे
प्रतिसादकर्ता प्रस्तावित सिलेक्टरचा उपसंच स्वीकारू शकतो, आणि स्वीकारलेला संच अनेक नोंदींमध्ये छापला जाऊ शकतो, एक पोर्ट-पात्र आणि दुसरा सर्व पोर्ट व्यापणारा. फक्त पहिली पोर्ट-पात्र ओळ वाचल्यास स्वीकारलेले कमी मोजले जाते; फक्त रुंद ओळ वाचल्यास ते जास्त मोजले जाते. छापलेल्या प्रस्तावाची स्थापित धोरणाशी तुलना करा, कारण प्रस्ताव म्हणजे पीअरनी काय सांगितले आणि धोरण म्हणजे कर्नेल कशाशी जुळवेल. ते जुळत नसल्यास, बोगदा आहे आणि रहदारी नाही, हीच पारंपरिक अधूनमधून येणारी तक्रार. पीअरची तुलना करताना स्थानिक आणि दूरचा दृष्टिकोन उलटवा, कारण प्रत्येक बाजूचे स्थानिक हे दुसऱ्याचे दूर आहे.
पोर्ट निर्बंध असलेल्या होस्ट-विशिष्ट नोंदी दोनदा वाचण्यासारख्या आहेत, कारण त्या ICMP किंवा दुसरा पोर्ट वगळतात आणि गेटवेकडील पिंग कार्यरत ठेवतात.
अपयशी प्रवाहासाठी एक नोंद तयार करा
संरक्षण निर्णयावेळी दिसणाऱ्या स्वरूपात स्रोत, गंतव्य, पत्ता कुटुंब, प्रोटोकॉल आणि पोर्ट नोंदवा, त्यात कोणताही जाणीवपूर्वक अनुवाद समाविष्ट आहे. हीच मूल्ये सिलेक्टरशी जुळली पाहिजेत, आणि तिकीट तिसऱ्या हातांपर्यंत पोहोचल्यावर लोक स्मरणातून पुन्हा टाइप करतात तीही हीच मूल्ये.
नंतर चाइल्ड SA आणि त्याचे दिशात्मक काउंटर ओळखा: swanctl --list-sas strongSwan होस्टवर संलग्नतेचा सारांश देतो, आणि ip -s xfrm state काउंटर देतो. प्रणाली निष्क्रिय असताना नाही, तर नवीन परवानगी दिलेल्या विनंतीनंतर ते वाचा. बाहेर जाणाऱ्या रहदारीत वाढ न होणे निवड किंवा स्थानिक मार्गाकडे निर्देश करते; संबंधित आत येणारी रहदारी नसलेली बाहेर जाणारी रहदारी पीअर, त्याचे अग्रेषण किंवा त्याच्या प्रतिसादांकडे निर्देश करते.
पूर्ण झालेली अनुप्रयोग देवघेव कोणत्याही काउंटरपेक्षा वरचढ आहे, म्हणून चाचणी बोगदा निर्देशकावर नाही, अनुप्रयोगावर संपली पाहिजे.
त्यानंतर दुरुस्ती निवडा
ती नोंद अस्तित्वात असेल तरच निवडण्यासारखी दुरुस्ती असते: स्वीकारलेले सिलेक्टर, मार्ग, गाळणी, पीअर अंमलबजावणी किंवा आता तुम्ही दाखवलेली सीमा. पीअर रीसेट केल्याने एकाच वेळी अनेक स्थिती बदलतात आणि कोणती चुकीची होती हे न सांगता रहदारी पुनर्संचयित होते, म्हणून बिघाड परत येतो. कर्नेल स्थितीचे डंप तिकिटांबाहेर ठेवा, कारण त्यात किल्ल्या असू शकतात आणि मदत करणाऱ्या कोणालाही संक्षिप्त सारांश पुरतो.
नोंद तुमच्या पहिल्या सिद्धांताशी विसंगत असेल, तर नोंदीवर विश्वास ठेवा आणि सिद्धांत पुन्हा लिहा; ही सवय येथे चर्चिलेल्या कोणत्याही एका लॉग ओळीपेक्षा मौल्यवान आहे.