DPD जवाफहरूले IKE पियर जीवित छ भनी प्रमाणित गर्छन्, तपाईंको डेटा बगिरहेको छ भनेर होइन
जीवनशीलता जवाफ, प्याडिङ सूचना र साँघुरिएका सिलेक्टरले तीन फरक कुरा वर्णन गर्छन्। रोकावटको लागि एउटालाई दोष दिनुअघि तिनीहरूलाई छुट्टाछुट्टै पढ्नुहोस्।
IPsec लगहरूले तिनीहरूअगाडिको एप्लिकेसन रोकिँदा पनि जीवनशीलता जवाफ देखाउन सक्छन्, र दुवै तथ्य एकै समयमा सत्य हुन सक्छन्। DPD जवाफले पियरको IKE प्रशोधनले त्यस क्षणमा जवाफ दियो भनी स्थापित गर्छ; तपाईंलाई महत्त्वपूर्ण प्याकेट चाइल्ड SA ले बोक्छ कि बोक्दैन भन्नेबारे यसले केही भन्दैन। कुनै पनि खराबी नजिकको हरेक चेतावनीलाई त्यसको कारण मान्नु भनेको सिलेक्टर समस्यालाई प्रोटोकल बगको रूपमा निदान गर्ने तरिका हो। तीन अवलोकनहरू सबैभन्दा बढी अलमल्याइन्छन्, र तिनीहरूले तीन फरक प्रश्नको जवाफ दिन्छन्। टाइमस्ट्याम्प अनुसार पढ्नुअघि तिनीहरूलाई सम्बन्ध र उद्देश्य अनुसार पढ्नुहोस्।
प्रत्येक अवलोकनले के प्रमाणित गर्छ
तालिकाले प्रत्येक अवलोकनले के स्थापित गर्छ र त्यो केवल केसँग आउँछ भन्ने छुट्याउँछ।
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
तीनमध्ये कुनै पनि आफैमा त्रुटि होइन। प्रत्येक तपाईंले डिबग गरिरहेको प्रवाहको छेउमा मात्र रोचक हुन्छ, र कुनै निश्चित प्रवाहसँग जोड्न नसकिने पङ्क्ति प्रमाण होइन, सन्दर्भ हो।
जीवनशीलता डेटाको स्वास्थ्य होइन
DPD INFORMATIONAL आदानप्रदानको रूपमा चल्छ, IKE डेमनहरूबीचको नियन्त्रण-तह कुराकानी। जवाफले पियरको IKE प्रक्रिया पहुँचयोग्य छ र जवाफ दिन तयार छ भनी प्रमाणित गर्छ, र टाइमआउटले त्यस्तो छैन भनी प्रमाणित गर्छ। कुनै पनि परिणामले चाइल्ड SA, सिलेक्टर, अग्रेषण मार्ग वा एप्लिकेसनको जवाफ परीक्षण गर्दैन, त्यसैले रोकिएको स्थानान्तरणको छेउमा स्वस्थ DPD विरोधाभास होइन, सुसंगत चित्र हो।
त्यसैले लगको शीर्षमा जतिसुकै ढाडसदायी देखिए पनि जीवनशीलता पङ्क्तिहरू डेटा-तह टिकटको सबैभन्दा कम उपयोगी भाग हुन्।
प्याडिङ सूचना प्याडिङबारेको भनाइ हो
TFC प्याडिङ यी लगहरूमा सबैभन्दा बढी पढिने पङ्क्ति हो। ट्राफिक-प्रवाह-गोपनीयताका लागि प्याडिङ त्यो चाइल्ड SA का लागि स्वीकार गरिने छैन भनी यसले भन्छ, जुन ESP सुरक्षाको अस्वीकार होइन, वैकल्पिक प्याडिङ सुविधाबारेको भनाइ हो। खराबी नजिक यो भेटिनु सामान्यतया शब्दबाहुल्यको संयोग हो, र प्याडिङ खोल्ने वा बन्द गर्नाले सिलेक्टर कभरेजमा केही फेर्दैन।
IKEv2 विनिर्देश ले सूचना र सिलेक्टर वार्तालाप दुवै परिभाषित गर्छ, र कुनै कार्यान्वयनको चेतावनी लेबलले दुवैमध्ये कुनै पनि अवस्थामा प्रोटोकलको अर्थको ठाउँ लिँदैन।
साँघुरो बनाउनु बढी शान्त छ र महत्त्वपूर्ण हुने सम्भावना बढी छ
प्रतिक्रिया दिनेले प्रस्तावित सिलेक्टरको उपसमुच्चय स्वीकार गर्न सक्छ, र स्वीकृत समुच्चय धेरै प्रविष्टिहरूमा छापिन सक्छ, एउटा पोर्ट-योग्य र अर्को सबै पोर्ट समेट्ने। पहिलो पोर्ट-योग्य पङ्क्ति मात्र पढ्दा स्वीकृत कम आँकिन्छ; फराकिलो पङ्क्ति मात्र पढ्दा त्यो बढी आँकिन्छ। छापिएको प्रस्तावलाई स्थापित नीतिसँग तुलना गर्नुहोस्, किनभने प्रस्ताव भनेको पियरहरूले भनेको कुरा हो र नीति भनेको कर्नेलले मिलाउने कुरा हो। तिनीहरू नमिल्दा, सुरुङ छ र ट्राफिक छैन, जुन परम्परागत बीचबीचमा आउने गुनासो हो। पियरको तुलना गर्दा स्थानीय र टाढाको दृष्टिकोण उल्टाउनुहोस्, किनभने हरेक पक्षको स्थानीय अर्काको टाढा हो।
पोर्ट प्रतिबन्ध भएका होस्ट-विशिष्ट प्रविष्टिहरू दुई पटक पढ्न लायक छन्, किनभने तिनैले ICMP वा दोस्रो पोर्ट बाहिर राख्छन् र गेटवेतर्फको पिङ काम गरिरहन्छ।
असफल हुने प्रवाहका लागि एउटा अभिलेख बनाउनुहोस्
सुरक्षा निर्णयमा देखिने रूपमा स्रोत, गन्तव्य, ठेगाना परिवार, प्रोटोकल र पोर्ट अभिलेख गर्नुहोस्, जसमा कुनै पनि जानाजानी गरिएको अनुवाद समावेश छ। यी नै सिलेक्टरसँग मिल्नुपर्ने मान हुन्, र टिकट तेस्रो हातमा पुग्दा मानिसहरूले सम्झनाबाट फेरि टाइप गर्ने मान पनि यिनै हुन्।
त्यसपछि चाइल्ड SA र यसका दिशात्मक काउन्टर पहिचान गर्नुहोस्: swanctl --list-sas ले strongSwan होस्टमा संगठनको सारांश दिन्छ, र ip -s xfrm state ले काउन्टर दिन्छ। प्रणाली निष्क्रिय हुँदा होइन, नयाँ अनुमति दिइएको अनुरोधपछि तिनीहरू पढ्नुहोस्। बाहिर जाने ट्राफिकमा वृद्धि नहुनु छनोट वा स्थानीय मार्गतर्फ सङ्केत गर्छ; सम्बन्धित भित्र आउने बिनाको बाहिर जाने ट्राफिक पियर, त्यसको अग्रेषण वा त्यसका जवाफतर्फ सङ्केत गर्छ।
पूरा भएको एप्लिकेसन आदानप्रदान कुनै पनि काउन्टरभन्दा माथि छ, त्यसैले परीक्षण सुरुङ सूचकमा होइन, एप्लिकेसनमा अन्त्य हुनुपर्छ।
त्यसपछि सुधार छान्नुहोस्
त्यो अभिलेख अवस्थित भएपछि मात्र छान्ने सुधार हुन्छ: स्वीकृत सिलेक्टर, मार्ग, फिल्टरिङ, पियर कार्यान्वयन, वा अब तपाईंले देखाउनुभएको सीमा। पियर रिसेट गर्दा एकैचोटि धेरै अवस्था बदलिन्छ र कुन गलत थियो भनी नबताई ट्राफिक पुनःस्थापित हुन्छ, त्यसैले खराबी फर्केर आउँछ। कर्नेल स्थितिका डम्प टिकटबाहिर राख्नुहोस्, किनभने तिनमा कुञ्जीहरू हुन सक्छन् र संक्षिप्त सारांश मद्दत चाहिने जोसुकैलाई पर्याप्त हुन्छ।
अभिलेख तपाईंको पहिलो सिद्धान्तसँग बाझिएमा अभिलेखलाई विश्वास गर्नुहोस् र सिद्धान्त फेरि लेख्नुहोस्; त्यो बानी यहाँ चर्चा गरिएको कुनै पनि एउटा लग पङ्क्तिभन्दा बहुमूल्य छ।