Balasan DPD membuktikan rakan IKE masih hidup, bukan data anda mengalir
Balasan kenyataan hidup, pemberitahuan padding dan pemilih yang disempitkan menerangkan tiga perkara berbeza. Bacalah secara berasingan sebelum menyalahkan salah satunya atas tersekat.
Log IPsec boleh menunjukkan balasan kenyataan hidup sementara aplikasi di hadapannya tersekat, dan kedua-dua fakta boleh benar pada masa yang sama. Balasan DPD menetapkan bahawa pemprosesan IKE rakan menjawab pada saat itu; ia tidak berkata apa-apa tentang sama ada SA anak membawa paket yang anda pedulikan. Menganggap setiap amaran berhampiran gangguan sebagai puncanya ialah cara masalah pemilih didiagnosis sebagai pepijat protokol. Tiga pemerhatian paling kerap dikelirukan, dan ketiganya menjawab tiga soalan berbeza. Bacalah mengikut kaitan dan tujuan sebelum membacanya mengikut cap masa.
Apa yang dibuktikan oleh setiap pemerhatian
Jadual memisahkan apa yang ditetapkan oleh setiap pemerhatian daripada apa yang hanya menemaninya.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Tiada satu pun daripada ketiga-tiganya adalah kesilapan dengan sendirinya. Setiap satu menjadi menarik hanya di sebelah aliran yang anda nyahpepijat, dan baris yang tidak dapat dikaitkan dengan aliran tertentu ialah konteks, bukan bukti.
Kenyataan hidup bukan kesihatan data
DPD berjalan sebagai pertukaran INFORMATIONAL, perbualan satah kawalan antara daemon IKE. Balasan membuktikan bahawa proses IKE rakan boleh dicapai dan bersedia menjawab, dan tamat masa membuktikan bahawa ia tidak. Tiada hasil yang menguji SA anak, pemilih, laluan penghantaran atau balasan aplikasi, jadi DPD sihat di sebelah pemindahan tersekat ialah gambaran koheren, bukan percanggahan.
Sebab itulah baris kenyataan hidup ialah bahagian paling kurang berguna dalam tiket satah data, walau seberapa menenangkan ia kelihatan di bahagian atas log.
Pemberitahuan padding ialah kenyataan tentang padding
Padding TFC ialah baris yang paling banyak dibaca berlebihan dalam log ini. Ia mengatakan bahawa padding kerahsiaan aliran trafik tidak akan diterima untuk SA anak itu, yang merupakan kenyataan tentang ciri padding pilihan dan bukan penolakan perlindungan ESP. Menemukannya berhampiran kegagalan biasanya kebetulan kerana banyak perkataan, dan menghidupkan atau mematikan padding tidak mengubah apa-apa pada liputan pemilih.
Spesifikasi IKEv2 mentakrifkan kedua-dua pemberitahuan dan rundingan pemilih, dan label amaran sesuatu pelaksanaan tidak menggantikan makna protokol dalam mana-mana daripada kedua-dua keadaan.
Penyempitan lebih senyap dan lebih mungkin penting
Pemberi balas boleh menerima subset pemilih yang ditawarkan, dan set yang diterima boleh dicetak merentas beberapa entri, satu layak port dan satu lagi meliputi semua port. Membaca hanya baris pertama yang layak port meremehkan apa yang diterima; membaca hanya baris lebar melebih-lebihkannya. Bandingkan cadangan yang dicetak dengan dasar yang dipasang, kerana cadangan ialah apa yang dikatakan rakan dan dasar ialah apa yang akan dipadankan oleh kernel. Apabila kedua-duanya tidak sepadan, terowong wujud dan trafik tidak, yang merupakan aduan berselang-seli klasik. Balikkan perspektif tempatan dan jauh apabila membandingkan rakan, kerana tempatan setiap pihak ialah jauh pihak yang lain.
Entri khusus hos dengan sekatan port wajar dibaca dua kali, kerana entri itulah yang mengecualikan ICMP atau port kedua sambil membiarkan ping ke get laluan terus berfungsi.
Bina satu rekod untuk aliran yang gagal
Catat sumber, destinasi, keluarga alamat, protokol dan port seperti yang dilihat pada keputusan perlindungan, termasuk sebarang terjemahan yang disengajakan. Itulah nilai yang mesti sepadan dengan pemilih, dan itulah juga nilai yang orang taip semula dari ingatan apabila tiket sampai kepada pasangan tangan ketiga.
Kemudian kenal pasti SA anak dan pembilang arahnya: swanctl --list-sas memberikan ringkasan persekutuan pada hos strongSwan, dan ip -s xfrm state memberikan pembilang. Bacalah selepas permintaan dibenarkan yang baharu dan bukan semasa sistem melahu. Tiada kenaikan keluar menunjuk kepada pemilihan atau laluan tempatan; keluar tanpa masuk yang sepadan menunjuk kepada rakan, penghantarannya atau balasannya.
Pertukaran aplikasi yang selesai mengatasi mana-mana pembilang, sebab itulah ujian harus berakhir pada aplikasi dan bukan pada penunjuk terowong.
Pilih pembetulan selepas itu
Hanya selepas rekod itu wujud barulah ada pembetulan untuk dipilih: pemilih yang diterima, laluan, penapisan, pelaksanaan rakan, atau sempadan yang kini anda tunjukkan. Menetap semula rakan mengubah beberapa keadaan sekali gus dan sering memulihkan trafik tanpa menerangkan yang mana satu salah, jadi gangguan itu kembali. Jauhkan longgokan keadaan kernel daripada tiket juga, kerana ia boleh mengandungi kunci dan ringkasan sempit sudah cukup untuk sesiapa yang perlu membantu.
Apabila rekod bercanggah dengan teori pertama anda, percayailah rekod itu dan tulis semula teori itu; tabiat itu lebih bernilai daripada mana-mana satu baris log yang dibincangkan di sini.