IKEv2-deteksjon av daud peer testar ikkje appen din

IKEv2-livstest stiller eitt spørsmål: svarar den andre parten framleis på den verna kontrollrelasjonen. Han måler ikkje om ein intern applikasjon er frisk, om det finst ei rute bak gatewayen, eller om nettsurfing kjennest raskt. Testen kan passere medan alt nyttig bak tunnelen sviktar.

Les dei to slaga bevis kvar for seg før du endrar ein timer.

Kva livstesten eigentleg spør om

Ei livsutveksling blir send innanfor den etablerte IKE-tryggingsassosiasjonen og ventar eit svar innanfor eit konfigurert vindauge. Suksess tyder at IKE-implementasjonen til parten framleis er der og framleis vil snakke. Han seier ingenting om barneassosiasjonane som ber trafikk, ingenting om ruting bortanfor gatewayen, og ingenting om tenesta du opna tunnelen for. Det er tre separate spørsmål med tre separate feilmåtar.

Den skilnaden avgjer kvar du ser når ein sesjon blir stille. Ein part som held fram med å svare medan ein datavveg er øydelagd, peikar på politikk, ruting eller ei teneste lenger nede. Ein part som sluttar å svare peikar på tilgjenge eller på tilstanden til den fjerne enden sjølv.

Les tryggingsassosiasjonane før nettlesaren

Kontrolltilstanden og datatilstanden blir lista kvar for seg når du spør daemonen, og teljarane seier om noko i det heile vart forsøkt. Ein barneassosiasjon som aldri vart installert ser heilt annleis ut enn ein som vart installert og så slutta å sleppe pakkar gjennom, sjølv om begge gjev same brukarklage.

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

Skriv tilstandsnamna ordrett i saka, saman med teljarane i klageaugneblinken. Ei skildring som tunnel nede løyner kva av dei to assosiasjonane som enda, og det er vanlegvis det einaste faktumet som er verdt å ha.

Ein rutefeil ser nøyaktig ut som ein daud part

Gatewayen kan svare på kontrollutvekslingar medan ein privat tenar er fråkopla, ei vidaresend rute manglar, eller intern namneløysing sviktar heilt. Frå klienten si side ser kvar av desse ut som ein sesjon som er oppe og ein destinasjon som ikkje er det. Kontroller returvegen like nøye som vegen fram, fordi asymmetrisk ruting på den fjerne sida lagar stille berre i éi retning.

Test den tiltenkte applikasjonen direkte og nemn adressa han prøvde, i staden for å teste om tunnelen er oppe. Ein ping til gatewayen provar at gatewayen svarar; det har aldri prova at applikasjonen gjorde det. Skriv ned den nøyaktige adressa applikasjonen prøvde. Den strengen snevrar inn søket seinare, og det er det einaste faktumet saka vanlegvis utelèt.

Hald timarar utanfor diagnosen

Avkorting av eit deteksjonsintervall er ikkje ei ytingsendring og legg ikkje til kapasitet. Ved pakketap endrar det kor raskt ein feil blir kjend, noko som kan få eit symptom til å sjå annleis ut utan å gjere noko betre. Skriv først ned den verkelege tida for feilen, og avgjer så om toleransen er galen for sambandet du faktisk har.

NAT-mapping-fornyingar høyrer i same kategori. Dei held ein omsett veg brukbar, og dei er ikkje bevis for at den fjerne applikasjonen verkar.

Ein fullstendig attopprettingspolitikk seier kva klienten skal gjere når ein part blir erklært daud: starte på nytt, lukke eller halde, og kva annan trafikk kan gjere medan det skjer. Utan det blir same hendinga diagnostisert på nytt frå byrjan kvart kvartal.