Il-VPN tal-Mac tikkonnettja darba, imbagħad jaqa’ għal żmien: naddaf id-daemon IKE

L-ewwel konnessjoni wara restard taħdem. Kull tentattiv wara jibqa’ mdendel fl-istadju tal-konnessjoni u fl-aħħar jaqa’ għal żmien, u l-uniku rimedju affidabbli huwa restard ieħor. Dan il-mudell mhux problema tal-profil u mhux problema tal-kredenzjali. Xi ħaġa fl-isfond għadha żżomm l-istat mit-tentattiv preċedenti, u t-tentattiv li jmiss jaħbat miegħu.

Fuq macOS, dik ix-xi ħaġa normalment hija d-daemon IKE.

Il-mudell: konnessjoni waħda, imbagħad żmien skadut

Konnessjoni li taħdem eżattament darba kull boot tindika stat li jgħix wara skonnessjoni iżda mhux wara restard. Il-profili jgħixu wara t-tnejn, allura l-profil mhuwiex il-varjabbli. Il-kredenzjali wkoll jgħixu wara t-tnejn, sakemm is-server ma jillokkax il-kont. Dak li jinbidel fir-restard huwa s-sett ta’ daemons li qed jaħdmu u s-sockets li jżommu.

Dan idawwar l-investigazzjoni qabel ma tiftaħ log wieħed. Il-mistoqsija ssir liema proċess jippossjedi l-port IKE u x’jaħseb li qed jagħmel.

Żewġ daemons, port wieħed

Is-sistema tħaddem racoon meta konnessjoni titkellem IKE verżjoni 1. Il-verżjonijiet attwali jġibu wkoll iked għal IKEv2 u l-istack IPsec aktar ġdid. It-tnejn jistgħu jokkupaw UDP 500 u UDP 4500, u t-tnejn jistgħu jżommu assoċjazzjoni tas-sigurtà nofsha miftuħa wara li tentattiv ta’ konnessjoni jiġi kkanċellat fil-mistoqsija tal-password jew jiġi interrott minn bidla fin-netwerk.

Meta jiġri dan, it-tentattiv li jmiss ma jibdiex nadif. Jipprova jinnegozja waqt li l-assoċjazzjoni l-qadima għadha tokkupa l-istat tal-pari, u l-iskambju jieqaf minflok ma jonqos bi żball ċar. L-utent jara indikatur li jdur, imbagħad żmien skadut.

Sib is-sid qabel toqtol xi ħaġa, għax it-tweġiba tiddetermina liema servizz terġa’ tibda u liema log taqra wara.

sudo lsof -i :500 -i :4500
ps -ef | grep -E "racoon|iked"

Aqra l-output bħala żewġ fatti: liema proċess iżomm il-port, u jekk hemmx aktar minn wieħed. Żewġ daemons IKE li qed jikkompetu għall-istess socket jispjegaw ħafna mġiba intermittenti li tidher bħal server instabbli.

Erġa’ ibda l-impjieg, mhux il-proċess

Fuq sistemi eqdem, huwa biżżejjed li toqtol il-proċess u tħalli l-konnessjoni li jmiss terġa’ tibdih. Fil-verżjonijiet attwali d-daemon huwa mmaniġġjat minn launchd, u li tibgħat sinjal lill-proċess biss jista’ jħalli l-impjieg fi stat fejn la qed jaħdem u lanqas skedat biex jibda. Minflok, waqqaf u ibda l-impjieg.

sudo launchctl stop com.apple.racoon
sudo launchctl start com.apple.racoon

Jekk launchd m’għandux rekord tal-impjieg, li toqtol il-proċess bl-isem xorta jġiegħel negozjar ġdid fit-tentattiv li jmiss. It-test huwa l-istess fiż-żewġ każijiet: l-ebda proċess m’għandu jżomm il-port meta terġa’ tipprova tikkonnettja. Ikkonferma dan bl-istess kmand lsof minflok ma tassumi li r-restard ħadem.

Imbagħad ikkonnettja darba u aqra l-log tal-klijent mill-bidu. Negozjar li jgħaddi mill-fażi 1 u mbagħad jirrapporta falliment fit-trażmissjoni qed jerġa’ jtenni l-problema tas-socket lokali; negozjar miċħud mill-pari huwa biljett kompletament differenti.

Meta s-server ikun dak li jirrifjuta

Mhux kull tieni konnessjoni tfalli lokalment. Is-server jista’ jirrifjuta login ġdid għal tieqa fissa wara skonnessjoni, u l-iskadenza tal-klijent tidher identika għal daemon imblukkat. Id-distinzjoni hija rħisa: jekk ir-restard tad-daemon ma jgħinx iżda kont ieħor jikkonnettja minnufih, it-tieqa hija fuq in-naħa tas-server u l-Mac qatt ma kien il-problema.

Il-politika tat-tunnel maqsum tipproduċi l-istess forma mid-direzzjoni l-oħra. Server li jitlob it-traffiku kollu fit-tunnel se jwarrab klijent ikkonfigurat għat-tunnel maqsum waqt in-negozjar, u l-klijent jirrapporta skadenza minflok rifjut ta’ politika. Ibdel il-profil biex jibgħat kollox mill-tunnel jista’ jġibu jikkonnettja, iżda dik hija deċiżjoni ta’ politika li trid tittieħed mas-sid tan-netwerk, mhux tiswija li tiġi applikata bil-kwiet.

Aqra l-log tal-pari qabel ma terġa’ tbiddel il-klijent. Rifjut, nuqqas ta’ qbil fil-politika u twaqqigħ sieket huma tliet kawżi differenti li kollha jidhru bħal “qed jikkonnettja” fuq l-iskrin tal-Mac.

Klijenti eqdem u l-qalba 64-bit

Il-klijent antik Cisco IPSec jgħabbi estensjoni tal-qalba mibnija għal sistemi 32-bit u PowerPC. Fuq Mac imqajjem fil-qalba 64-bit, dik l-estensjoni ma tistax tgħabbi, u l-klijent ifalli kmieni bl-iżball 51 għax ma jasal xejn għas-subsistema tal-VPN. L-ebda ammont ta’ restard tad-daemon ma jsewwi estensjoni tal-qalba bl-arkitettura żbaljata.

It-tagħbija mill-ġdid tal-estensjoni tista’ taħdem għal ftit u mbagħad terġa’ tfalli fil-boot li jmiss. It-tweġibiet dejjiema huma li tħaddem il-qalba eqdem fejn għadha appoġġjata, jew li tgħaddi għall-klijent inkorporat li jiġi mas-sistema. Iċċekkja l-arkitettura qabel ma tqatta’ filgħaxija fuq klijent ta’ partijiet terzi li ma jistax jgħabbi.

• Irriproduċi darba, imbagħad iċċekkja liema daemon jippossjedi l-UDP 500 qabel ma tmiss il-profil.
• Aqra l-ewwel falliment wara l-fażi 1: żball fit-trażmissjoni jindika s-socket lokali.
• Erġa’ ibda l-impjieg ta’ launchd, mhux biss il-proċess, u kkonferma li l-port huwa ħieles.
• Ipprova tieni kont biex tifred tieqa ta’ riawtentikazzjoni fuq in-naħa tas-server minn ħsara fil-klijent.
• Irreġistra l-arkitettura tal-qalba qabel ma tagħti l-ħtija lill-klijent.

VPN li jaħdem eżattament darba huwa problema ta’ stat sakemm jiġi ppruvat mod ieħor. It-tindif tad-daemon huwa aktar mgħaġġel minn restard, u jippreserva l-evidenza tal-log li restard kien jitfa’.