Is-SA tifel tal-IPsec hija attiva, iżda l-kontaturi tal-pakketti jibqgħu żero

Int tellajt il-mina, it-tajmer tar-rekey qed jgħodd 'l isfel, u ż-żewġ direzzjonijiet għadhom jaqraw żero pakketti. Xejn f'dan il-par tan-numri ma jgħid li l-peer ċaħad il-mina tiegħek: SA tifel installata b'kontaturi vojta hija l-istat normali ta' assoċjazzjoni li xejn ma qabel magħha s'issa. Ix-xogħol hu li tipprova li pakkett kellu jaqbel, imbagħad issib il-punt fejn ħareġ mit-triq li jiddeskrivu s-seletturi. Agħmilha darba, bl-ordni, u żomm it-talba identika bejn il-ġirjiet.

X'jipprova tassew kontatur żero

SA tifel hija par ta' seletturi flimkien ma' ċ-ċwievet u l-SPI li jikkriptaw it-traffiku li jaqa' f'dawk il-meded. Li tinstallaha tfisser biss li ż-żewġ peers qablu fuq dawk il-meded u ċ-ċwievet derivati; il-kernel iżommha sigħat sħaħ mingħajr ma tasal pakkett wieħed. Għalhekk il-mistoqsija qatt mhi jekk il-mina teżistix, iżda jekk xi pakkett li bagħat it-test tiegħek waqax fil-meded li nnegozjaw iż-żewġ peers. Jekk ħadd ma waqa', il-kontaturi jibqgħu żero u l-assoċjazzjoni tiskadi mingħajr użu fi tmiem ħajjitha.

Din id-distinzjoni tbiddel x'tispezzjona l-ewwel. Proposta miċħuda, falliment ta' awtentikazzjoni jew IKE SA li qed tmut kollha joħorġu fil-log jew fil-lista tal-SA, mhux bħala żero siekta. Mina li tinnegozja b'mod nadif u mbagħad tibqa' vojta tindika minflok it-tqabbil, ir-rotot jew l-oriġini tat-traffiku tat-test.

Ibgħat fluss li tista' tiddeskrivi qabel ma tibgħatu

Agħżel destinazzjoni ġewwa s-subnet protett u iftaħ konnessjoni ġdida lejha; paġna li għabbiha siegħa ilu tista' tiġi servuta mill-cache, u tweġiba fil-cache qatt ma tmiss il-mina. Imbagħad ikteb erba' valuri waqt li t-talba għadha ipotetika: l-indirizz tas-sors li se jorbot l-applikazzjoni, id-destinazzjoni, il-familja tal-indirizz u l-isem jew il-par ta' seletturi tat-tifel li qed tosserva. Dak ir-rekord hu dak li jibdel kontatur ċatt fi pretensjoni li tista' tiġi ttestjata.

L-indirizz tas-sors hu l-valur li n-nies jaqbeż, u hu dak li jkisser l-iktar it-test. Laptop b'indirizz bil-wajer, indirizz Wi-Fi u indirizz tal-mina jista' jorbot lil xi wieħed minnhom skont it-tfittxija tar-rotta, u wieħed biss jista' jkun fil-medda nnegozjata. Uża għodda li tħallik twaħħal is-sors, bħal ping -I 10.1.0.5 10.2.0.9 jew curl --interface 10.1.0.5, sabiex il-pakkett ma jistax jaqbad indirizz differenti bil-kwiet. Meta l-ġirja mwaħħla tħarreġ il-kontaturi u l-ġirja mhux imwaħħla ma tħarrikhomx, int sibt problema tar-rotot u mhux problema tal-IPsec.

Liema numri taqra, u fejn jgħixu

Fuq Linux, ip -s xfrm state jistampa kull assoċjazzjoni b'linja lifetime current: li t-total tal-bytes u t-total tal-pakketti tagħha huma ta' dik l-SA biss, segwita b'linja stats: għall-għadd ta' replay u żbalji. Fuq peer strongSwan, swanctl --list-sas jistampa linja in u linja out għal kull tifel installat, kull waħda tispiċċa b'għadd ta' bytes u għadd ta' pakketti; l-għodod stroke eqdem isejħu l-istess par bytes_i u bytes_o. Aqra ż-żewġ direzzjonijiet separatament, għax dik li baqgħet ċatta hija l-iskoperta. Li żżidhom flimkien jaħbi eżattament l-asimmetrija li qed tfittex.

Iż-żewġ veduti huma għal kull assoċjazzjoni, għalhekk rekey jinstalla par SPI ġdid u l-linja bażi tiegħek tirritorna għal żero mingħajr ma jinqered xejn. Irreġistra l-SPI li qed tosserva qabel ma jibda t-tajmer tar-rekey, inkella tqabbel SA ġdida ma' numru antik. Jekk il-ħruġ jiżdied waqt li d-dħul jibqa' ċatt, is-selettur qabel u t-tweġiba qatt ma reġgħet lura, li jċaqlaq l-investigazzjoni għall-forwarding tal-peer u għall-policy tiegħu stess. Id-dokumentazzjoni tal-konfigurazzjoni IKEv2 ta' strongSwan tkopri ċ-ċiklu tal-ħajja tat-tifel SA u l-ħin tar-rekey wara dawk in-numri.

Il-punt tal-osservazzjoni huwa varjabbli separat mill-oriġini tal-pakkett. Offload tal-hardware jista' jżid il-kontaturi tal-assoċjazzjoni waqt li qabda tas-software fuq l-interface ma turi xejn, għax il-pakketti offloaded jaqbeż il-hook fejn tpoġġi l-qabda, u l-ingress jista' jiddevja bl-istess mod. Meta t-tnejn ma jaqblux, uża l-kontaturi biex twieġeb jekk xi ħaġa qabditx u l-qabda biex twieġeb kif kien jidher il-pakkett.

Ir-rotta, is-seletturi u fejn twieled il-pakkett

Qabbel tliet affarijiet ħdejn xulxin: ir-rotta li l-kernel jagħżel għad-destinazzjoni tiegħek, il-policy li dderieġi t-traffiku fil-mina, u l-par ta' seletturi li nnegozja t-tifel. ip route get 10.2.0.9 from 10.1.0.5 isemmi l-interface u s-sors li l-kernel kien juża, li spiss mhux il-par li assumjt. ip xfrm policy juri l-mudelli u s-seletturi installati lokalment, waqt li swanctl --list-sas juri li miegħu qabel il-peer. Tfittxija li tibgħat il-pakkett 'il barra mill-interface fiżika qatt ma tilħaq il-policy, għalhekk il-kontaturi ma jistgħu jitħarrku.

It-tqabbil ħażin jiġi f'diversi suriet li jidhru identiċi minn kontatur. Destinazzjoni IPv6 barra selettur IPv4, indirizz tas-sors mis-subnet ħażin, u policy idjaq mit-tifel kollha jipproduċu l-istess żero. Sewwi l-iktar kawża dejqa l-ewwel, għax li twessa' selettur biss biex iċċaqlaq numru jbiddel dak li l-mina tipproteġi.

Imbagħad hemm l-oriġini tal-pakkett, in-nassa li gateway iqiegħed għall-operatur tiegħu stess. It-traffiku li l-gateway jiġġenera huwa mqabbel mal-policy tal-output, waqt li pakkett li jgħaddi għal klijent huwa mqabbel mal-policy tal-forward, għalhekk ping mill-kaxxa jista' jirnexxi fi triq li qatt ma jieħu ebda klijent.

Bidla waħda riversibbli u rapport li jiflaħ ir-reviżjoni

Ibdel element wieħed biss, irrepeti t-talba identika u aqra l-istess kontaturi. Li tnaddaf kull regola tal-firewall jew tibdel is-seletturi kollha f'daqqa se jċaqlaq numru u jeqred l-evidenza li qaltlek għaliex. Jekk it-tieni ġirja għadha turi żero, eliminajt ipoteżi waħda minflok ma ħlejt il-wara nofsinhar.

Ikteb l-iskoperta f'forma li ħadd ieħor jista' jirriproduċi: isem it-tifel, il-meded aċċettati, is-sors li waħħalt, id-destinazzjoni li ttestjajt, id-direzzjoni li baqgħet żero, u l-SPI li kont qed taqra. Dik is-sentenza tifred assoċjazzjoni li ħadd ma uża minn applikazzjoni remota li rċeviet it-traffiku u rrifjutatu. Erġa' lura l-bidla meta ma ċċaqlaqtx il-kontaturi, u żomm ir-rekord; il-persuna li jmiss tibda fejn waqaft. Xejn fil-mina ma kellu jinbena mill-ġdid għal dan kollu, u dan hu l-punt li tiċċekkja t-tqabbil qabel ma tmiss il-konfigurazzjoni.