Pengesanan rakan mati IKEv2 tidak menguji aplikasi anda

Semakan keaktifan IKEv2 mengemukakan satu soalan: adakah rakan lain masih menjawab pada hubungan kawalan yang dilindungi. Ia tidak mengukur sama ada aplikasi dalaman sihat, sama ada laluan wujud di belakang gateway, atau sama ada pelayaran terasa pantas. Semakan boleh lulus sementara semua yang berguna di belakang terowong gagal.

Baca kedua-dua jenis bukti secara berasingan sebelum menukar pemasa.

Apa yang sebenarnya ditanya oleh semakan keaktifan

Pertukaran keaktifan dihantar di dalam persatuan keselamatan IKE yang telah ditubuhkan dan menjangkakan jawapan dalam tetingkap yang dikonfigurasikan. Kejayaan bermakna pelaksanaan IKE rakan masih ada dan masih bersedia untuk bercakap. Ia tidak berkata apa-apa tentang persatuan keselamatan anak yang membawa trafik, tidak tentang penghalaan di luar gateway, dan tidak tentang perkhidmatan yang anda buka terowong itu. Itu tiga soalan berasingan dengan tiga mod kegagalan berasingan.

Perbezaan itulah yang menentukan di mana anda melihat apabila sesi menjadi senyap. Rakan yang terus menjawab sementara laluan data rosak menunjukkan dasar, penghalaan atau perkhidmatan hiliran. Rakan yang berhenti menjawab menunjukkan kebolehsampaian atau keadaan hujung jauh itu sendiri.

Baca persatuan keselamatan sebelum pelayar

Keadaan kawalan dan keadaan data disenaraikan secara berasingan apabila anda bertanya kepada daemon, dan pembilang memberitahu sama ada apa-apa telah dicuba. Persatuan anak yang tidak pernah dipasang kelihatan sama sekali berbeza daripada yang dipasang dan kemudian berhenti menghantar paket, walaupun kedua-duanya menghasilkan aduan pengguna yang sama.

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

Catat nama keadaan sebagaimana adanya dalam tiket, bersama pembilang pada saat aduan. Penerangan seperti terowong turun menyembunyikan persatuan mana antara dua itu yang tamat, dan itu biasanya satu-satunya fakta yang bernilai disimpan.

Kegagalan laluan kelihatan sama seperti rakan mati

Gateway boleh menjawab pertukaran kawalan sementara pelayan persendirian luar talian, laluan yang diteruskan hilang, atau penyelesaian nama dalaman gagal sepenuhnya. Dari sisi klien, setiap satu daripadanya kelihatan sebagai sesi yang hidup dan destinasi yang tidak. Periksa laluan balik sebaik laluan hadapan, kerana penghalaan asimetri di sisi jauh menghasilkan kesenyapan dalam satu arah sahaja.

Uji aplikasi yang dimaksudkan secara langsung dan namakan alamat yang dicubanya, bukannya menguji sama ada terowong hidup. Ping ke gateway membuktikan gateway menjawab; ia tidak pernah membuktikan aplikasi menjawab. Catat alamat tepat yang dicuba aplikasi. Rentetan itu menyempitkan carian kemudian, dan itulah satu-satunya fakta yang biasanya diabaikan oleh tiket.

Jauhkan pemasa daripada diagnosis

Memendekkan selang pengesanan bukan perubahan prestasi dan tidak menambah kapasiti. Di bawah kehilangan paket ia mengubah betapa cepat kegagalan dikenali, yang boleh membuat gejala kelihatan berbeza tanpa menjadikan apa-apa lebih baik. Catat masa kegagalan sebenar dahulu, kemudian tentukan sama ada toleransi itu salah untuk pautan yang anda benar-benar ada.

Penyegaran pemetaan NAT tergolong dalam kategori yang sama. Ia memastikan laluan yang diterjemah kekal boleh digunakan, dan ia bukan bukti bahawa aplikasi jauh berfungsi.

Dasar pemulihan yang lengkap menyatakan apa yang perlu dilakukan klien apabila rakan diisytiharkan mati: mulakan semula, tutup atau tahan, dan apa yang boleh dilakukan trafik lain semasa itu berlaku. Tanpanya, insiden yang sama didiagnosis semula dari awal setiap suku tahun.