DPD-svar provar at IKE-motparten lever, ikkje at dataa dine flyt
Livstidssvar, ei padding-melding og innsnevra selektorar skildrar tre ulike ting. Les dei kvar for seg før du gir ein av dei skulda for ein stans.
IPsec-loggar kan visa livstidssvar medan applikasjonen framfor dei står, og begge fakta kan vere sanne samstundes. Eit DPD-svar slår fast at IKE-handsaminga til motparten svara i det augneblinken; det seier ingenting om barn-SA-en ber pakken du bryr deg om. Å handsame kvar åtvaring nær eit utfall som årsaka til utfallet er korleis eit selektorproblem blir diagnostisert som ein protokollfeil. Tre observasjonar blir oftast forveksla, og dei svarar på tre ulike spørsmål. Les dei etter samanheng og føremål før du les dei etter tidsstempel.
Kva kvar observasjon provar
Tabellen skil kva kvar observasjon slår fast frå kva han berre følgjer med.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Ingen av dei tre er ein feil i seg sjølv. Kvar av dei blir først interessant ved sida av straumen du feilsøkjer, og ei rad som ikkje kan knytast til ein bestemt straum, er kontekst snarare enn prov.
Livstid er ikkje datahelse
DPD køyrer som ein INFORMATIONAL-utveksling, ein kontrollplansamtale mellom IKE-daemonar. Eit svar provar at IKE-prosessen til motparten er nåbar og viljug til å svare, og ein tidsavbrot provar at han ikkje er det. Ingen av resultata prøver barn-SA-en, selektorane, vidaresendingsvegen eller svaret til applikasjonen, så ein sunn DPD ved sida av ein fastlåst overføring er eit samanhengande bilete snarare enn ei motsetning.
Difor er livstidslinjene den minst nyttige delen av ein dataplanbillett, uansett kor beroligande dei ser ut øvst i loggen.
Padding-meldinga er ei utsegn om padding
TFC-padding er den mest overlesne linja i desse loggane. Ho seier at padding for trafikkstraumkonfidensialitet ikkje vil bli akseptert for den barn-SA-en, noko som er ei utsegn om ein valfri paddingfunksjon snarare enn ei avvising av ESP-vern. Å finne ho nær ein feil er som regel ein tilfeldigheit av ordrikdom, og å slå padding på eller av endrar ingenting ved selektordekkinga.
Den IKEv2-spesifikasjonen definerer både meldinga og selektorforhandlinga, og ein advarselsetikett i ein implementasjon erstattar ikkje protokolltydinga i nokon av dei to tilfella.
Innsnevring er stillare og meir sannsynleg viktig
Ein responder kan godta ei delmengd av dei tilbodne selektorane, og det aksepterte settet kan skrivast ut over fleire oppføringar, éin portkvalifisert og ein annan som dekkjer alle portar. Å lese berre den første portkvalifiserte linja undervurderer det som vart akseptert; å lese berre den breie linja overvurderer det. Samanlikn det utskrivne framlegget med den installerte policyen, fordi framlegget er det motpartane sa, og policyen er det kjernen vil matche. Når dei ikkje stemmer overeins, finst tunnelen og trafikken ikkje, som er den klassiske periodiske klaga. Snu det lokale og det fjerne perspektivet når du samanliknar motpartar, fordi det lokale til kvar side er det fjerne til den andre.
Vertsspesifikke oppføringar med ei portavgrensing er verd å lese to gonger, fordi det er dei som utelukkar ICMP eller ein annan port medan ein ping til gatewayen held fram med å verke.
Bygg éin registrering for straumen som feilar
Registrer kjelde, mål, adressefamilie, protokoll og port slik dei blir sette ved vernavgjerda, inkludert kvar medvite omsetjing. Det er verdiane som må matche ein selektor, og det er også verdiane folk skriv inn på nytt frå minnet når billetten når eit tredje par hender.
Identifiser deretter barn-SA-en og dei retningsbestemte teljarane hans: swanctl --list-sas gir assosiasjonsoversynet på ein strongSwan-vert, og ip -s xfrm state gir teljarane. Les dei etter ein fersk tillaten førespurnad i staden for medan systemet er inaktivt. Inga auke i utgåande trafikk peikar på seleksjonen eller den lokale vegen; utgåande utan tilsvarande inngåande peikar på motparten, vidaresendinga eller svara hans.
Ein fullført applikasjonsutveksling veg tyngre enn nokon av teljarane, og difor bør testen slutte ved applikasjonen snarare enn ved tunnelindikatoren.
Vel korreksjonen etterpå
Først når den registreringa finst, er det ein korreksjon å velje: aksepterte selektorar, rute, filtrering, implementasjonen til motparten eller ei grense du no har demonstrert. Å nullstille motparten endrar fleire tilstandar på ein gong og gjenopprettar ofte trafikken utan å forklare kva som var feil, så utfallet kjem tilbake. Hald kjernetilstands-dumpar ute av billettane òg, fordi dei kan innehalde nøklar, og det korte samandraget er nok for alle som må hjelpe.
Når registreringa motseier den første teorien din, tru på registreringa og skriv teorien på nytt; den vanen er meir verd enn noka einskild logglinje som blir drøfta her.