IKEv2 ਫ੍ਰੈਗਮੈਂਟੇਸ਼ਨ ਨੂੰ ਸਰਟੀਫਿਕੇਟ ਚੇਨ ਦੀ ਸਮੱਸਿਆ ਤੋਂ ਵੱਖਰਾ ਪਛਾਣੋ

ਟਨਲ ਦਫ਼ਤਰ ਦੇ ਨੈੱਟਵਰਕ 'ਤੇ ਚੱਲਦੀ ਸੀ ਅਤੇ ਘਰ ਵਿੱਚ ਰੁਕ ਜਾਂਦੀ ਹੈ, ਅਤੇ ਲੌਗ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਪਹਿਲਾ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਹੋਰ ਕੁਝ ਵਾਪਰਨ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਪੂਰਾ ਹੋ ਜਾਂਦਾ ਹੈ। ਇਹ ਪੈਟਰਨ ਪ੍ਰਮਾਣ-ਪੱਤਰਾਂ ਵੱਲ ਨਹੀਂ, ਸਗੋਂ ਪ੍ਰਮਾਣੀਕਰਨ ਦੇ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਵੱਲ ਸੰਕੇਤ ਕਰਦਾ ਹੈ: ਸਰਟੀਫਿਕੇਟ ਚੇਨ ਉਸ ਸੁਨੇਹੇ ਨੂੰ ਪਿਛਲੇ ਨਾਲੋਂ ਕਿਤੇ ਵੱਡਾ ਬਣਾ ਦਿੰਦੀ ਹੈ, ਅਤੇ ਵੱਡੇ ਡੇਟਾਗ੍ਰਾਮ ਪਸੰਦ ਨਾ ਕਰਨ ਵਾਲਾ ਰਾਹ ਉਸ ਨੂੰ ਚੁੱਪਚਾਪ ਸੁੱਟ ਦੇਵੇਗਾ। ਇਸ ਵਿੱਚ ਦੋ ਵੱਖਰੇ ਫ੍ਰੈਗਮੈਂਟੇਸ਼ਨ ਕਾਰਜ ਵਿਧੀਆਂ ਸ਼ਾਮਲ ਹਨ, ਅਤੇ ਤੁਸੀਂ ਕਿਹੜੀ ਦੇਖ ਰਹੇ ਹੋ ਇਹ ਜਾਣਨਾ ਹੱਲ ਤੈਅ ਕਰਦਾ ਹੈ।

ਦੋ ਫ੍ਰੈਗਮੈਂਟੇਸ਼ਨ ਵਿਧੀਆਂ, ਇੱਕ ਲੱਛਣ

IKEv2 ਦਾ ਆਪਣਾ ਫ੍ਰੈਗਮੈਂਟੇਸ਼ਨ ਐਕਸਟੈਂਸ਼ਨ ਹੈ, ਜੋ RFC 7383 ਵਿੱਚ ਪਰਿਭਾਸ਼ਿਤ ਹੈ ਅਤੇ ਸੁਰੱਖਿਅਤ IKE ਸੁਨੇਹਿਆਂ ਨੂੰ ਛੋਟੇ IKE ਸੁਨੇਹਿਆਂ ਵਿੱਚ ਵੰਡਦਾ ਹੈ। ਦੋਵੇਂ ਧਿਰਾਂ ਉਸ ਸਮਰੱਥਾ 'ਤੇ ਗੱਲਬਾਤ ਕਰਦੀਆਂ ਹਨ, ਅਤੇ ਸੁਨੇਹਾ IP ਪਰਤ ਦੁਆਰਾ ਨਹੀਂ, IKE ਲਾਗੂਕਰਨ ਦੁਆਰਾ ਮੁੜ ਜੋੜਿਆ ਜਾਂਦਾ ਹੈ।

ਆਮ IP ਫ੍ਰੈਗਮੈਂਟੇਸ਼ਨ ਵੱਖਰੀ ਅਸਫਲਤਾ ਵਿਧੀ ਵਾਲੀ ਦੂਜੀ ਕਾਰਜ ਵਿਧੀ ਹੈ। ਦੋਵੇਂ ਧਿਰਾਂ ਵਿਚਕਾਰਲਾ ਰਾਊਟਰ ਵੱਡੇ ਡੇਟਾਗ੍ਰਾਮ ਨੂੰ ਟੁਕੜਿਆਂ ਵਿੱਚ ਵੰਡਦਾ ਹੈ, ਜਾਂ ਉਸ ਨੂੰ ਸੁੱਟ ਕੇ ਅਜਿਹਾ ICMP ਸੁਨੇਹਾ ਵਾਪਸ ਭੇਜਦਾ ਹੈ ਜੋ ਸ਼ਾਇਦ ਭੇਜਣ ਵਾਲੇ ਤੱਕ ਕਦੇ ਨਾ ਪਹੁੰਚੇ। ਕੁਝ ਨੈੱਟਵਰਕ ਟੁਕੜੇ ਚੁੱਪਚਾਪ ਸੁੱਟ ਦਿੰਦੇ ਹਨ, ਅਤੇ ਕੁਝ ਵਿਚਕਾਰਲੇ ਯੰਤਰ ਪਹਿਲਾ ਟੁਕੜਾ ਸੰਭਾਲਦੇ ਹਨ ਪਰ ਬਾਕੀ ਨਹੀਂ। ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਨਜ਼ਰੀਏ ਤੋਂ ਤਿੰਨੇ ਹਾਲਤਾਂ ਇੱਕੋ ਜਿਹੀਆਂ ਦਿਸਦੀਆਂ ਹਨ।

NAT ਲੰਘਣ ਨਾਲ ਤੀਜਾ ਬਦਲ ਜੁੜਦਾ ਹੈ, ਕਿਉਂਕਿ ਤਦ ESP ਨੂੰ UDP ਵਿੱਚ ਲਪੇਟਿਆ ਜਾਂਦਾ ਹੈ ਅਤੇ ਬਾਹਰਲਾ ਪੈਕਟ ਵੱਡਾ ਹੋ ਜਾਂਦਾ ਹੈ ਜਦਕਿ ਉਹ ਪੋਰਟ 4500 'ਤੇ ਆਮ UDP ਟ੍ਰੈਫਿਕ ਵਰਗਾ ਦਿਸਦਾ ਹੈ। UDP ਨੂੰ ਚੰਗੀ ਤਰ੍ਹਾਂ ਲੰਘਾਉਣ ਵਾਲਾ ਰਾਹ ਵੀ ਹੁਣ ਨਾ ਸਮਾਉਣ ਵਾਲੇ ਡੇਟਾਗ੍ਰਾਮ 'ਤੇ ਅਸਫਲ ਹੋ ਸਕਦਾ ਹੈ।

ਅਸਫਲ ਹੋਇਆ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਪੜ੍ਹੋ

ਗਲਤੀ ਨਹੀਂ, ਤਬਦੀਲੀ ਲੱਭੋ। ਜਿਹੜਾ ਲੌਗ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਪਹਿਲਾ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਭੇਜਿਆ ਅਤੇ ਜਵਾਬ ਦਿੱਤਾ ਗਿਆ, ਅਤੇ ਫਿਰ ਕੁਝ ਨਹੀਂ, ਉਹ ਤੁਹਾਨੂੰ ਦੱਸਦਾ ਹੈ ਕਿ ਅਗਲਾ ਸੁਨੇਹਾ ਕਦੇ ਪੂਰਾ ਨਹੀਂ ਹੋਇਆ। ਲੌਗ ਪੱਧਰ ਅਸਥਾਈ ਤੌਰ 'ਤੇ ਵਧਾਓ ਅਤੇ ਦੋਵੇਂ ਧਿਰਾਂ 'ਤੇ ਦੱਸੇ ਗਏ ਆਕਾਰਾਂ ਦੀ ਤੁਲਨਾ ਕਰੋ।

ਤੁਸੀਂ ਜੋ ਸਥਾਪਿਤ ਕਰਨਾ ਚਾਹੁੰਦੇ ਹੋ ਉਹ ਹੈ ਕਿ ਜਵਾਬ ਦੇਣ ਵਾਲੇ ਨੇ ਬੇਨਤੀ ਬਿਲਕੁਲ ਦੇਖੀ ਸੀ ਜਾਂ ਨਹੀਂ। ਜੇ ਸ਼ੁਰੂ ਕਰਨ ਵਾਲੇ ਨੇ ਕੁਝ ਭੇਜਿਆ ਅਤੇ ਜਵਾਬ ਦੇਣ ਵਾਲੇ ਕੋਲ ਉਸ ਦਾ ਕੋਈ ਰਿਕਾਰਡ ਨਹੀਂ, ਤਾਂ ਸਮੱਸਿਆ ਪਹੁੰਚਾਉਣ ਵਿੱਚ ਹੈ। ਜੇ ਜਵਾਬ ਦੇਣ ਵਾਲੇ ਨੇ ਬੇਨਤੀ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਕੇ ਅਸਵੀਕਾਰ ਕੀਤਾ, ਤਾਂ ਸਮੱਸਿਆ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਹੀ ਹੈ, ਅਤੇ ਫ੍ਰੈਗਮੈਂਟੇਸ਼ਨ ਧਿਆਨ ਭਟਕਾਉਣਾ ਹੈ। ਉਹ ਫ਼ਰਕ ਟਾਈਮਆਊਟ ਸੁਨੇਹਿਆਂ ਦੇ ਇੱਕ ਪੰਨੇ ਨਾਲੋਂ ਵੱਧ ਕੀਮਤੀ ਹੈ।

ਰਾਹ ਬਦਲੋ, ਸਰਟੀਫਿਕੇਟ ਨਹੀਂ

ਉਹੀ ਕਲਾਇੰਟ, ਉਹੀ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਉਹੀ ਸੰਰਚਨਾ ਕਿਸੇ ਹੋਰ ਨੈੱਟਵਰਕ ਤੋਂ ਪਰਖੋ। ਮੋਬਾਈਲ ਹਾਟਸਪਾਟ ਆਮ ਤੌਰ 'ਤੇ ਸਭ ਤੋਂ ਸਸਤਾ ਦੂਜਾ ਰਾਹ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਇਹ ਦਫ਼ਤਰ ਦੇ ਲਿੰਕ ਨਾਲੋਂ ਸੱਚਮੁੱਚ ਵੱਖਰਾ ਹੈ, ਸਿਰਫ਼ ਨਾਮ ਨਾਲ ਨਹੀਂ।

ਜੇ ਦੂਜੇ ਰਾਹ 'ਤੇ ਹੈਂਡਸ਼ੇਕ ਪੂਰਾ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਸਰਟੀਫਿਕੇਟ ਚੇਨ ਠੀਕ ਹੈ ਅਤੇ ਪਹਿਲਾ ਰਾਹ ਬਦਲ ਹੈ। ਜੇ ਦੋਵਾਂ 'ਤੇ ਇੱਕੋ ਜਿਹਾ ਅਸਫਲ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਨੈੱਟਵਰਕ ਪਰਖਣਾ ਬੰਦ ਕਰੋ ਅਤੇ ਸੁਨੇਹੇ ਆਪ ਹੀ ਦੇਖੋ। ਉਹ ਇੱਕ ਤੁਲਨਾ ਸੰਭਾਵੀ ਵਿਆਖਿਆਵਾਂ ਦਾ ਲਗਭਗ ਅੱਧਾ ਹਟਾ ਦਿੰਦੀ ਹੈ।

ਕੁਝ ਵੀ ਸੋਧਣ ਤੋਂ ਪਹਿਲਾਂ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਮਾਪੋ

ਚੇਨ ਦਾ ਆਕਾਰ ਅਤੇ ਰਾਹ ਦਾ ਆਕਾਰ ਲਵੋ। ਦੋਵੇਂ ਸੰਖਿਆਵਾਂ ਸੀਮਤ ਕਰਦੀਆਂ ਹਨ ਕਿ ਹੈਂਡਸ਼ੇਕ ਕੀ ਭੇਜ ਸਕਦਾ ਹੈ, ਅਤੇ ਦੋਵੇਂ ਮਾਪਣਾ ਸਸਤਾ ਹੈ:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

ਪਹਿਲੇ ਦੋ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਗਿਣਤੀ ਅਤੇ ਫ਼ਾਈਲ ਦਾ ਆਕਾਰ ਦਿੰਦੇ ਹਨ, ਜੋ ਪ੍ਰਮਾਣੀਕਰਨ ਸੁਨੇਹਾ ਕਿੰਨਾ ਵੱਡਾ ਹੋਵੇਗਾ ਦਾ ਵਾਜਬ ਸੰਕੇਤਕ ਹੈ। ping ਜਾਂਚ ਦੱਸਦੀ ਹੈ ਕਿ ਉਸ ਆਕਾਰ ਦਾ ਡੇਟਾਗ੍ਰਾਮ ਰਾਹ 'ਤੇ ਟਿਕਦਾ ਹੈ ਜਾਂ ਨਹੀਂ, ਅਤੇ ਇੰਟਰਫ਼ੇਸ ਕਾਊਂਟਰ ਦਿਖਾਉਂਦੇ ਹਨ ਕਿ ਤੁਹਾਡੇ ਸਿਰੇ 'ਤੇ ਟੁਕੜੇ ਸੁੱਟੇ ਗਏ ਜਾਂ ਨਹੀਂ। Windows 'ਤੇ ਬਰਾਬਰ ਦੀ ਜਾਂਚ do-not-fragment ਝੰਡੇ ਅਤੇ ਸਪਸ਼ਟ ਪੇਲੋਡ ਆਕਾਰ ਵਾਲੀ ping ਹੈ।

ਕਾਮਯਾਬ ਹੋਣ ਤੱਕ ਜਾਂਚ ਨੂੰ ਹੇਠਾਂ ਵੱਲ ਦੁਹਰਾਓ। ਜੋ ਸਭ ਤੋਂ ਵੱਡਾ ਆਕਾਰ ਲੰਘਦਾ ਹੈ ਉਹੀ ਉਸ ਰਾਹ ਦਾ ਕੰਮਕਾਜੀ ਬਜਟ ਹੈ, ਅਤੇ ਇਹ ਕਿਸੇ ਵੀ ਪ੍ਰਕਾਸ਼ਿਤ ਡਿਫ਼ਾਲਟ ਨਾਲੋਂ ਵਧੇਰੇ ਲਾਹੇਵੰਦ ਹੈ।

ਅਸਲ ਵਿੱਚ ਟੁੱਟੀ ਪਰਤ ਠੀਕ ਕਰੋ

ਜੇ ਰਾਹ ਵੱਡੇ ਡੇਟਾਗ੍ਰਾਮ ਸੁੱਟਦਾ ਹੈ, ਤਾਂ ਦੋਵੇਂ ਧਿਰਾਂ 'ਤੇ IKE ਫ੍ਰੈਗਮੈਂਟੇਸ਼ਨ ਚਾਲੂ ਕਰੋ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਐਕਸਟੈਂਸ਼ਨ ਸਿਰਫ਼ ਪੇਸ਼ ਨਹੀਂ ਕੀਤਾ ਗਿਆ, ਗੱਲਬਾਤ ਹੋਈ ਹੈ। ਜੇ ਰਾਹ IP ਪੱਧਰ 'ਤੇ ਟੁਕੜਿਆਂ ਨਾਲ ਮਾੜਾ ਵਿਵਹਾਰ ਕਰਦਾ ਹੈ, ਤਾਂ ਸੁਧਾਰ ਉੱਥੇ ਜਾਂ ਬਾਹਰਲੇ ਇੰਟਰਫ਼ੇਸ ਦੇ MTU ਵਿੱਚ ਹੈ, ਸਰਟੀਫਿਕੇਟ ਸਟੋਰ ਵਿੱਚ ਨਹੀਂ।

ਜੇ ਚੇਨ ਬੇਲੋੜੀ ਲੰਮੀ ਹੈ, ਤਾਂ ਇਸ ਨੂੰ ਉਹਨਾਂ ਵਿਚਕਾਰਲੇ ਸਰਟੀਫਿਕੇਟਾਂ ਤੱਕ ਛੋਟਾ ਕਰੋ ਜਿਨ੍ਹਾਂ ਦੀ ਕਿਸੇ ਧਿਰ ਨੂੰ ਸੱਚਮੁੱਚ ਲੋੜ ਹੈ। ਕਲਾਇੰਟ ਜਿਸ ਰੂਟ 'ਤੇ ਪਹਿਲਾਂ ਹੀ ਭਰੋਸਾ ਕਰਦਾ ਹੈ ਉਸ ਨੂੰ ਹਟਾਉਣਾ ਵਾਜਬ ਰੱਖ-ਰਖਾਅ ਹੈ; ਵਿਚਕਾਰਲੇ ਨੂੰ ਹਟਾਉਣਾ ਨਹੀਂ, ਅਤੇ ਸੁਨੇਹਾ ਛੋਟਾ ਕਰਨ ਲਈ ਤਸਦੀਕ ਬੰਦ ਕਰਨਾ ਪਹੁੰਚਾਉਣ ਦੀ ਸਮੱਸਿਆ ਨੂੰ ਸੁਰੱਖਿਆ ਦੀ ਸਮੱਸਿਆ ਨਾਲ ਬਦਲ ਦਿੰਦਾ ਹੈ।

ਕਿਹੜੀ ਵਿਧੀ ਬਦਲੀ ਅਤੇ ਉਸ ਤੋਂ ਬਾਅਦ ਹੈਂਡਸ਼ੇਕ ਕਿਵੇਂ ਦਿਸਿਆ ਇਹ ਲਿਖੋ। ਅਗਲੀ ਘਟਨਾ ਆਮ ਤੌਰ 'ਤੇ ਉਸੇ ਲੱਛਣ ਨਾਲ ਕਿਸੇ ਹੋਰ ਨੈੱਟਵਰਕ 'ਤੇ ਹੁੰਦੀ ਹੈ, ਅਤੇ ਉਹੀ ਨੋਟ ਦੋ ਘੰਟਿਆਂ ਨੂੰ ਦਸ ਮਿੰਟ ਬਣਾਉਂਦਾ ਹੈ।