Tiddistingwi l-frammentazzjoni tal-IKEv2 minn problema ta’ katina taċ-ċertifikati

Il-mina ħadmet fuq in-netwerk tal-uffiċċju u toqgħod f’darek, u l-log juri l-ewwel skambju jitlesta qabel ma jiġri xejn ieħor. Dan il-mudell jindika l-iskambju tal-awtentikazzjoni, mhux il-kredenzjali: katina taċ-ċertifikati tagħmel dak il-messaġġ ferm akbar minn dak ta’ qabel, u mogħdija li ma tħobbx datagrams kbar se twarrabh bil-kwiet. Huma involuti żewġ mekkaniżmi differenti ta’ frammentazzjoni, u li tkun taf liema waħda qed tħares lejha tiddeċiedi l-korrezzjoni.

Żewġ mekkaniżmi ta’ frammentazzjoni, sintomu wieħed

IKEv2 għandu l-estensjoni tiegħu ta’ frammentazzjoni, definita f’RFC 7383, li taqsam messaġġi IKE protetti fi messaġġi IKE iżgħar. Il-pari jinnegozjaw dik il-kapaċità, u messaġġ jerġa’ jiġi assemblat mill-implimentazzjoni IKE minflok mis-saff IP.

Il-frammentazzjoni IP ordinarja hija mekkaniżmu ieħor b’mod ta’ falliment differenti. Router bejn il-pari jqatta’ datagram kbir, jew jarmih u jbagħat messaġġ ICMP li forsi qatt ma jasal għand min qed jibgħat. Xi netwerks iwarrbu l-frammenti bil-kwiet, u xi apparati tan-nofs jimmaniġġjaw l-ewwel framment imma mhux il-bqija. Mill-perspettiva tal-applikazzjoni, it-tliet każijiet jidhru l-istess.

It-tqassim NAT iżid it-tielet varjabbli, għax dakinhar ESP jiġi mgežwer fl-UDP u l-pakkett ta’ barra jikber filwaqt li jidher bħal traffiku UDP ordinarju fuq il-port 4500. Mogħdija li tgħaddi l-UDP tajjeb xorta tista’ tfalli fuq datagram li ma jibqax jidħol.

Aqra l-iskambju li falla

Fittex it-tranżizzjoni mhux l-iżball. Log li juri l-ewwel skambju mibgħut u mwieġeb, imbagħad xejn, jgħidlek li l-messaġġ li jmiss qatt ma tlestiet. Għolli temporanjament il-livell tal-log u qabbel id-daqsijiet irrappurtati fuq iż-żewġ pari.

Dak li trid tistabbilixxi huwa jekk il-persuna li twieġeb ratx it-talba xejn. Jekk min beda bagħat xi ħaġa u min wieġeb m’għandux rekord tagħha, il-problema hija l-kunsinna. Jekk min wieġeb analizza talba u ċaħadha, iċ-ċertifikat innifsu hija l-problema, u l-frammentazzjoni hija distrazzjoni. Dik id-distinzjoni tiswa iktar minn paġna ta’ messaġġi ta’ time-out.

Biddel il-mogħdija, mhux iċ-ċertifikat

Ittestja l-istess klijent, l-istess ċertifikat u l-istess konfigurazzjoni minn netwerk differenti. Hotspot mobbli normalment huwa t-tieni mogħdija l-irħas, u huwa tassew differenti mill-konnessjoni tal-uffiċċju, mhux biss b’isem.

Jekk l-handshake jitlesta fuq it-tieni mogħdija, il-katina taċ-ċertifikati hija sew u l-ewwel mogħdija hija l-varjabbli. Jekk tfalli bl-istess mod fuq it-tnejn, waqqaf it-testijiet tan-netwerks u ħares lejn il-messaġġi stess. Dik il-paragun waħdu jneħħi madwar nofs l-ispjegazzjonijiet possibbli.

Ikejjel l-iskambju qabel tibdel xejn

Ġib id-daqs tal-katina u d-daqs tal-mogħdija. Iż-żewġ numri jillimitaw x’jista’ jibgħat l-handshake, u t-tnejn huma rħas biex jitkejlu:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

L-ewwel tnejn jagħtu l-għadd taċ-ċertifikati u d-daqs tal-fajl, li huwa indikatur raġonevoli ta’ kemm se jkun kbir il-messaġġ tal-awtentikazzjoni. L-ispezzjoni tal-ping tirrapporta jekk datagram ta’ dak id-daqs jgħaddix il-mogħdija, u l-kontaturi tal-interface juru jekk il-frammenti ġewx mwarrba min-naħa tiegħek. Fuq Windows, l-ispezzjoni ekwivalenti hija ping bil-bandiera do-not-fragment u daqs espliċitu tal-payload.

Irrepeti l-ispezzjoni ’l isfel sakemm tirnexxi. L-akbar daqs li jgħaddi huwa l-baġit tax-xogħol għal dik il-mogħdija, u huwa iktar utli minn kwalunkwe valur default ippubblikat.

Sejjaħ is-saff li huwa tassew miksur

Jekk il-mogħdija twarrab datagrams kbar, ippermetti l-frammentazzjoni IKE fuq iż-żewġ pari u kkonferma li l-estensjoni ġiet negozjata mhux biss offruta. Jekk il-mogħdija timmaniġġja l-frammenti ħażin fil-livell IP, il-korrezzjoni tappartjeni hemmhekk jew fl-MTU tal-interface ta’ barra, mhux fl-imħażen taċ-ċertifikati.

Jekk il-katina hija twila bla bżonn, qassarha sal-ċertifikati intermedji li pari tassew jeħtieġ. It-tneħħija ta’ għerq li l-klijent diġà jafda bih hija manutenzjoni raġonevoli; it-tneħħija ta’ wieħed intermedju mhix, u li tiddiżattiva l-verifika biex tnaddaf messaġġ tbiddel problema ta’ kunsinna għal waħda ta’ sigurtà.

Ikteb liema mekkaniżmu bdilt u kif deher l-handshake warajh. L-okkorrenza li jmiss normalment tkun fuq netwerk ieħor bl-istess sintomu, u n-nota hija dik li tbiddel sagħtejn f’għaxar minuti.