Mistoqsija tal-bażi tad-data tistalla fuq IPsec: qsim mill-ġdid UDP jew TCP?
Mistoqsija li tistalla wara handshake nadifa tindika ġewwa l-mogħdija tat-tunnel. Tliet kundizzjonijiet jiddeċiedu jekk tissewwix il-mogħdija jew tinxteħet lura għal TCP fuq 443.
Mistoqsija li tistalla wara l-handshake TCP mhijiex problema ta' routing. Ħsarat fil-mogħdija jtellfu l-handshake, għalhekk sessjoni li tistabbilixxi u mbagħad tiskot tindika ġewwa l-mogħdija: spezzjoni, MTU, jew il-mod kif jasal il-pakketti UDP tat-tunnel. Id-deċiżjoni quddiemek hija jekk tissewwix dik il-mogħdija jew tmexxi t-tunnel għal TCP. Tliet kundizzjonijiet jiddeċiedu dan, u ebda waħda minnhom mhija dwar il-bażi tad-data.
Ikklassifika l-waqfa qabel ma tagħti l-ħtija lit-tunnel
Erba' riżultati jidhru l-istess għall-utent u jfissru affarijiet kompletament differenti għall-inġinier.
| What the client sees | What it rules out |
|---|---|
| Connection refused | Nothing is listening on the address and port the client reached |
| Timeout before the handshake | A filter, a missing route, or the wrong address |
| Handshake completes, query hangs | The session exists, so look at inspection, MTU and packet order |
| Stalls that recover on retry | Often reordering, or a state table entry expiring |
Biss l-aħħar żewġ ringieli jiġġustifikaw il-ħin fuq it-tunnel. Konnessjoni miċħuda permezz ta' VPN normalment tkun il-bażi tad-data li tisma' biss fuq loopback, li hija problema tas-semmiegħa, u timeout qabel il-handshake huwa filtru jew mogħdija. Ħadd minnhom ma jitjieb billi tinbidel l-encapsulation.
Ikteb il-klassifikazzjoni fit-ticket l-ewwel. Huwa l-iktar pass rħis u jneħħi l-biċċa l-kbira tal-ispazju tat-tiftix.
Tliet kundizzjonijiet li jiddeċiedu bejn UDP u TCP
It-traffiku IPsec inkapsulat jivvjaġġa fuq UDP, u UDP jagħti lill-mogħdija l-libertà li terġa' tordna u taqta' mingħajr ma tgħid lil ħadd. Meta l-ordni mill-ġdid tkeċċi l-pakketti barra mit-tieqa kontra t-tirar mill-ġdid tat-tunnel, dawn jitwarrbu bil-kwiet u s-sessjoni TCP ta' ġewwa sempliċement tistenna. Dan huwa l-mekkaniżmu wara handshake li jirnexxi u mistoqsija li qatt ma terġa' lura.
L-isewwija tal-mogħdija jew ir-ritorn għal TCP tiddependi fuq tliet affarijiet. L-ewwel, hemm telf reali ta' pakketti fil-mogħdija, jew biss ordni mill-ġdid? It-tieni, tista' tbiddel fejn issir l-ispezzjoni, jew teskludi dan it-tunnel mill-komponent li jerġa' jordna? It-tielet, ix-xogħol huwa sensittiv għall-mudell tal-waqfiet, pereżempju ħafna sessjonijiet multiplexati li jaqsmu link wieħed?
Jekk l-ewwel tweġiba hija telf u t-tieni hija le,TCP fuq 443 huwa l-alternattiva pragmatika. Jekk it-tieni tweġiba hija iva, sewwi l-mogħdija u żomm UDP.
Aqra r-rekord tal-firewall, mhux l-iżball tal-applikazzjoni
L-applikazzjoni tirrapporta timeout, li ma tgħid xejn dwar il-kawża. Il-log tal-firewall innifsu huwa l-post fejn jidher it-twarrib jew il-blokk, għalhekk iffiltra bl-indirizzi tal-bażi tad-data u tal-applikazzjoni u fittex twarrib kif ukoll aċċettazzjonijiet.Il-blades tal-prevenzjoni tat-theddid jistgħu jwarrbu pakketti mingħajr ma jiġġeneraw żball fil-livell tal-applikazzjoni, u dan huwa eżattament il-forma ta' mistoqsija li tistalla. Is-skiet fil-log huwa wkoll data: jindika xi ħaġa li ma tiddokumentax, bħall-ordni mill-ġdid.
Iċċekkja wkoll il-cluster. Cluster ikkonfigurat ħażin jista' jżomm sessjoni fit-tabella tal-istat fuq membru wieħed waqt li l-pakketti jieħdu l-mogħdija ta' membru ieħor, u għalhekk it-tweġibiet jaslu fejn ma teżistix stat. Dawk il-waqfiet jidhru każwali u mhumiex korrelatati mat-tagħbija.
Qabbel iż-żewġ trufijiet qabel ma tbiddel xi ħaġa, u qabbel l-ordni tal-wasla mhux l-għadd tal-pakketti:
tcpdump -ni any udp port 4500 -w /tmp/encap.pcap
tcpdump -ni any tcp port 5432 -w /tmp/inner.pcapX'inhu verament jiswa lilek TCP fuq 443
It-tmexxija tat-tunnel għal TCP tneħħi s-sintomu tal-ordni mill-ġdid, għax il-kaxxa tan-nofs issa tara fluss ordnat. Hija toħloq ukoll TCP fuq TCP. Il-konnessjoni ta' barra terġa' tibgħat dak li l-konnessjoni ta' ġewwa diġà bagħtet mill-ġdid, u telf wieħed jista' jwaqqaf is-sessjonijiet multiplexati kollha f'daqqa. Fuq mogħdija nadifa dan huwa inviżibbli. Fuq waħda b'telf il-kura hija agħar mis-sintomu.
L-iskambju huwa aċċettabbli meta l-alternattiva hija l-ebda konnettività, u għandu jiġi dokumentat bħala eċċezzjoni b'sid minflok ma jiġi assorbit bħala normali.
Irreġistra t-trasport, il-port, mistoqsija ta' eżempju u r-riżultat imkejjel, flimkien mad-data. Mingħajr dak ir-rekord l-inġinier li jmiss jirrepeti l-esperiment, u l-eċċezzjoni bil-kwiet issir l-arkitettura.
Żomm id-deċiżjoni reviżabbli
Dijanjosi tal-mogħdija tixjieħ ħażin. Il-kaxxa tan-nofs tinbidel, il-konfigurazzjoni tal-blade tinbidel, il-link jiġi aġġornat, u r-raġuni għal TCP fuq 443 tisparixxi waqt li l-konfigurazzjoni tibqa'. Poġġi data ta' reviżjoni fuq l-eċċezzjoni u semmi l-kundizzjoni li tippermettilek tirritorna għal UDP.
Ittestja ż-żewġ trasporti b'mistoqsija żgħira u b'sett kbir ta' riżultati. L-ordni mill-ġdid tidher bħala waqfiet dipendenti mid-daqs, filwaqt li ħsara fis-semmiegħa twaqqaf iż-żewġ daqsijiet bl-istess mod.