SA anak IPsec sudah naik, tetapi pembilang paket kekal sifar

Anda telah menaikkan terowong, pemasa kunci semula sedang mengira detik, dan kedua-dua arah masih membaca sifar paket. Tiada apa-apa dalam pasangan nombor itu yang mengatakan rakan setara menolak terowong anda: SA anak yang dipasang dengan pembilang terbiar ialah keadaan biasa bagi persatuan yang belum dipadankan oleh apa-apa. Kerjanya ialah membuktikan bahawa sesuatu paket sepatutnya sepadan, kemudian mencari titik ia meninggalkan laluan yang diterangkan oleh pemilih. Lakukan sekali, mengikut urutan, dan kekalkan permintaan itu sama antara larian.

Apa yang sebenarnya dibuktikan oleh pembilang sifar

SA anak ialah pasangan pemilih serta kunci dan SPI yang menyulitkan trafik yang jatuh dalam julat itu. Memasangnya hanya bermakna kedua-dua rakan setara bersetuju tentang julat tersebut dan kunci yang diterbitkan; kernel akan menyimpannya berjam-jam tanpa satu paket pun tiba. Jadi persoalannya bukan sama ada terowong itu wujud, tetapi sama ada mana-mana paket yang dihantar oleh ujian anda jatuh dalam julat yang dirundingkan oleh kedua-dua rakan setara. Jika tiada yang jatuh, pembilang kekal sifar dan persatuan itu luput tanpa digunakan pada penghujung hayatnya.

Perbezaan itu mengubah apa yang anda periksa dahulu. Cadangan yang ditolak, kegagalan pengesahan atau IKE SA yang sedang mati semuanya muncul dalam log atau dalam senarai SA, bukan sebagai sifar yang senyap. Terowong yang berunding dengan bersih dan kemudian kekal terbiar menunjuk kepada pemadanan, penghalaan atau asal trafik ujian sebaliknya.

Hantar aliran yang boleh anda terangkan sebelum menghantarnya

Pilih destinasi di dalam subnet terlindung dan buka sambungan baharu ke sana; halaman yang anda muatkan sejam lalu mungkin dihidangkan daripada cache, dan balasan cache tidak pernah menyentuh terowong. Kemudian catat empat nilai semasa permintaan itu masih hipotetikal: alamat sumber yang akan diikat oleh aplikasi, destinasi, keluarga alamat, dan nama atau pasangan pemilih anak yang anda perhatikan. Rekod itulah yang mengubah pembilang rata menjadi dakwaan yang boleh diuji.

Alamat sumber ialah nilai yang orang langkau, dan ia yang paling kerap merosakkan ujian. Komputer riba dengan alamat berwayar, alamat Wi-Fi dan alamat terowong boleh mengikat mana-mana daripadanya bergantung pada carian laluan, dan hanya satu mungkin berada dalam julat yang dirundingkan. Gunakan alat yang membolehkan anda memin sumber, seperti ping -I 10.1.0.5 10.2.0.9 atau curl --interface 10.1.0.5, supaya paket tidak boleh memilih alamat lain secara senyap. Apabila larian yang dipin menggerakkan pembilang dan larian yang tidak dipin tidak, anda telah menemui masalah penghalaan dan bukan masalah IPsec.

Nombor mana yang perlu dibaca, dan di mana ia tinggal

Pada Linux, ip -s xfrm state mencetak setiap persatuan dengan baris lifetime current: yang jumlah bait dan jumlah paketnya milik SA itu sahaja, diikuti baris stats: untuk kiraan main semula dan ralat. Pada rakan setara strongSwan, swanctl --list-sas mencetak satu baris in dan satu baris out bagi setiap anak yang dipasang, setiap satu berakhir dengan kiraan bait dan kiraan paket; alat stroke yang lebih lama melabel pasangan yang sama sebagai bytes_i dan bytes_o. Baca kedua-dua arah secara berasingan, kerana arah yang kekal rata itulah penemuan. Menambahnya bersama menyembunyikan tepat asimetri yang anda cari.

Kedua-dua paparan adalah mengikut persatuan, jadi kunci semula memasang pasangan SPI yang baharu dan garis dasar anda kembali kepada sifar tanpa apa-apa yang rosak. Catat SPI yang anda perhatikan sebelum pemasa kunci semula berbunyi, jika tidak anda akan membandingkan SA baharu dengan nombor lama. Jika keluar meningkat manakala masuk kekal rata, pemilih telah sepadan dan balasan tidak pernah kembali, yang memindahkan siasatan kepada penghantaran ke hadapan rakan setara dan dasaranya sendiri. Dokumentasi konfigurasi IKEv2 strongSwan merangkumi kitaran hayat SA anak dan masa kunci semula di sebalik angka tersebut.

Titik pemerhatian ialah pemboleh ubah berasingan daripada asal paket. Pelepasan perkakasan boleh menambah pembilang persatuan manakala tangkapan perisian pada antara muka tidak menunjukkan apa-apa, kerana paket yang dilepaskan melangkau cangkuk tempat tangkapan itu duduk, dan ingres boleh menyimpang dengan cara yang sama. Apabila kedua-duanya tidak bersetuju, gunakan pembilang untuk menjawab sama ada apa-apa sepadan dan tangkapan untuk menjawab bagaimana rupa paket itu.

Laluan, pemilih dan di mana paket itu dilahirkan

Bandingkan tiga perkara bersebelahan: laluan yang dipilih kernel untuk destinasi anda, dasar yang menyalurkan trafik ke dalam terowong, dan pasangan pemilih yang dirundingkan oleh anak. ip route get 10.2.0.9 from 10.1.0.5 menamakan antara muka dan sumber yang akan digunakan kernel, yang selalunya bukan pasangan yang anda andaikan. ip xfrm policy menunjukkan templat dan pemilih yang dipasang secara setempat, manakala swanctl --list-sas menunjukkan apa yang dipersetujui oleh rakan setara. Carian yang menghantar paket keluar melalui antara muka fizikal tidak sampai kepada dasar langsung, jadi pembilang tidak boleh bergerak.

Ketidakpadanan datang dalam beberapa bentuk yang kelihatan serupa dari pembilang. Destinasi IPv6 di luar pemilih IPv4, alamat sumber daripada subnet yang salah, dan dasar yang lebih sempit daripada anak semuanya menghasilkan sifar yang sama. Betulkan punca yang paling sempit dahulu, kerana meluaskan pemilih semata-mata untuk mengalihkan nombor mengubah apa yang dilindungi oleh terowong.

Kemudian ada asal paket itu, perangkap yang dipasang oleh get laluan untuk pengendalinya sendiri. Trafik yang dijana oleh get laluan itu sendiri dipadankan dengan dasar output, manakala paket yang dihantarkannya untuk klien dipadankan dengan dasar penghantaran ke hadapan, jadi ping dari kotak itu boleh berjaya pada laluan yang tidak pernah dilalui oleh mana-mana klien.

Satu perubahan yang boleh diterbalikkan dan laporan yang tahan semakan

Tukar satu elemen sahaja, ulang permintaan yang sama dan baca pembilang yang sama. Mengosongkan setiap peraturan tembok api atau menggantikan semua pemilih sekali gus akan menggerakkan nombor dan memusnahkan bukti yang memberitahu anda mengapa. Jika larian kedua masih menunjukkan sifar, anda telah menyingkirkan satu hipotesis dan bukan membazirkan sebelah petang.

Tulis penemuan itu dalam bentuk yang boleh dihasilkan semula oleh orang lain: nama anak, julat yang diterima, sumber yang anda pin, destinasi yang anda uji, arah yang kekal sifar, dan SPI yang anda baca. Ayat itu memisahkan persatuan yang tidak digunakan oleh sesiapa daripada aplikasi jauh yang menerima trafik itu dan menolaknya. Gulung balik perubahan itu apabila ia tidak menggerakkan pembilang, dan simpan rekod; orang seterusnya bermula di tempat anda berhenti. Tiada apa-apa dalam terowong perlu dibina semula untuk semua ini, dan itulah maksud memeriksa pemadanan sebelum menyentuh konfigurasi.