د IPsec ماشوم SA پورته دی، خو د پاکټ شمېرونکي صفر پاتې دي

تاسو تونل پورته کړ، د بیا کیلي کولو ټایمر شمېرل کوي، او لا هم دواړه لوري صفر پاکټونه ښیي۔ په دې جوړه شمېرو کې هېڅ شی نه وایي چې همکار ستاسو تونل رد کړی: نصب شوې CHILD SA چې شمېرونکي یې خالي وي، د هغې اړیکې نورمال حالت دی چې لا تر اوسه هېڅ شی ورسره سمون نه دی خوړلی۔ کار دا دی چې ثابته کړئ یو پاکټ باید سمون خوړلی وای، بیا هغه ټکی ومومئ چې له هغې لارې ووت چې ټاکونکي یې بیانوي۔ دا یو ځل، په ترتیب سره وکړئ او د منډو ترمنځ غوښتنه ورته وساتئ۔

صفر شمېرونکی واقعاً څه ثابتوي

CHILD SA د ټاکونکو یوه جوړه او هغه کیلي او SPI چې په دې حدونو کې راتلوونکی ټرافیک کوډ کوي ده۔ د هغې نصبول یوازې دا معنا لري چې دواړه همکاران پر هغو حدونو او ترلاسه شوو کیليو سره یوځای شول؛ کرنل به یې ساعتونه وساتي پرته له دې چې یو پاکټ ورسیږي۔ نو پوښتنه هېڅکله دا نه ده چې تونل شته که نه، بلکې دا چې ایا ستاسو ازموینې لېږلی کوم پاکټ د دواړو همکارانو د خبرو اترو حدونو کې پروت و که نه۔ که هېڅ هم نه وي پروت، شمېرونکي صفر پاتې کیږي او اړیکه د خپل ژوند په پای کې بې استفادې پای ته رسیږي۔

دا توپیر بدلوي چې تاسو لومړی څه ګورئ۔ رد شوې وړاندیز، د تصدیق ناکامي یا مړه کیدونکې IKE SA ټولې په لاګ یا د SA په لیست کې راڅرګندیږي، نه د یوې چوپې صفر په توګه۔ هغه تونل چې پاکه خبرې وکړي او بیا خالي پاتې شي، پرځای یې د سمون، لارښوونې یا د ازموینې ټرافیک سرچینې ته اشاره کوي۔

هغه بهیر ولېږئ چې د لېږلو دمخه یې بیانولی شئ

د ساتل شوې فرعي شبکې دننه یوه منزل وټاکئ او هغې ته نوی اړیکه پرانیزئ؛ یو ساعت دمخه پورته شوې پاڼه ممکن له کاش څخه راشي، او کاش شوی ځواب هېڅکله تونل ته نه رسیږي۔ بیا، چې غوښتنه لا فرضي ده، څلور ارزښتونه ولیکئ: هغه سرچینه پته چې اپلیکیشن به یې وتړي، منزل، د پتې کورنۍ او د هغې ماشوم نوم یا ټاکونکو جوړه چې تاسو یې ګورئ۔ همدا ثبت دی چې یو هوار شمېرونکی په ازمویل کیدونکې ادعا بدلوي۔

سرچینه پته هغه ارزښت دی چې خلک یې پرېږدي، او همدا ازموینه ډېری وخت ماتوي۔ یو لپ ټاپ چې تار پته، Wi-Fi پته او تونل پته لري، د لارې لټون له مخې کومه یوه وتړلی شي، او یوازې یوه یې ممکن په خبرو اترو شوي حد کې وي۔ داسې وسیله وکاروئ چې سرچینه وتړئ، لکه ping -I 10.1.0.5 10.2.0.9 یا curl --interface 10.1.0.5، ترڅو پاکټ په چوپتیا بله پته ونه ټاکي۔ کله چې تړل شوې منډه شمېرونکي وخوځوي او نه تړل شوې منډه یې ونه خوځوي، نو تاسو د IPsec نه بلکې د لارښوونې ستونزه موندلې ده۔

کومې شمېرې ولولئ، او دوی چېرته اوسي

په Linux کې ip -s xfrm state هرې اړیکې ته د lifetime current: کرښې سره چاپ ورکوي چې د بایټ او پاکټ ټولټال یې یوازې همدې SA پورې اړه لري، بیا د بیا تکراري او غلطي شمېرنې لپاره stats: کرښه راځي۔ د strongSwan همکار په خوا swanctl --list-sas د هر نصب شوي ماشوم لپاره یوه in کرښه او یوه out کرښه چاپوي، هر یوه د بایټ شمېر او پاکټ شمېر سره پای ته رسیږي؛ زاړه stroke وسایلې هماغه جوړه bytes_i او bytes_o بولي۔ دواړه لوري جلا ولولئ، ځکه چې هواره پاتې شوې خوا هغه موندنه ده۔ د دوی یوځای کول په دقیق ډول هغه نابرابري پټوي چې تاسو یې لټوئ۔

دواړه لیدونه هر یو د اړیکې پورې اړه لري، نو بیا کیلي کول نوی SPI جوړه نصبوي او ستاسو بنسټ بېرته صفر ته رسیږي پرته له دې چې څه مات شي۔ هغه SPI چې تاسو یې ګورئ د بیا کیلي کولو ټایمر له چلیدو دمخه ولیکئ، که نه نو نوې SA به له زاړه شمېر سره پرتله کړئ۔ که وتلونکی لوړ شي او راتلونکی هوار پاتې شي، نو ټاکونکی سمون خوړلی خو ځواب هېڅکله نه دی راستنې شوی، چې پلټنه د همکار د لېږد او د هغه خپلې پالیسۍ خوا ته وړي۔ د strongSwan IKEv2 ترتیباتو مستندات د ماشوم SA د ژوند دوره او د هغو شمېرو شاته د بیا کیلي کولو وخت رانغاړي۔

د کتنې ټکی د پاکټ له سرچینې جلا بدلونکی دی۔ د سختو توکو آفلود کولای شي د اړیکې شمېرونکي لوړ کړي، پداسې حال کې چې د انټرفیس پر سر سافټویر نیول هېڅ نه ښیي، ځکه چې آفلود شوي پاکټونه هغه چنګک غورځوي چې نیول پرې ناست دي، او راتلونکی بهیر هم همداسې جلا کیدلی شي۔ کله چې دواړه سره نه جوړیږي، شمېرونکي وکاروئ چې ځواب ورکړئ څه سمون خوړلی که نه، او نیول وکاروئ چې ځواب ورکړئ پاکټ څنګه ښکاریده۔

لار، ټاکونکي او چېرته چې پاکټ زیږیدلی

درې شیان څنګ په څنګ پرتله کړئ: هغه لار چې کرنل ستاسو منزل لپاره ټاکي، هغه پالیسي چې ټرافیک تونل ته وړي، او هغه ټاکونکو جوړه چې ماشوم پرې خبرې وکړې۔ ip route get 10.2.0.9 from 10.1.0.5 هغه انټرفیس او سرچینه نوموي چې کرنل به یې کارولی، کومه چې ډېری وخت هغه جوړه نه ده چې تاسو یې انګېرلې وه۔ ip xfrm policy په سیمه ییز ډول نصب شوي کالب او ټاکونکي ښیي، پداسې حال کې چې swanctl --list-sas ښیي چې همکار پر څه سره یوځای شو۔ هغه لټون چې پاکټ د فزیکي انټرفیس له لارې بېلېږي هېڅکله پالیسۍ ته نه رسیږي، نو شمېرونکي نشي خوځیدلی۔

نه سمون خوړل څو ډوله دي چې د شمېرونکي له مخې ورته ښکاري۔ د IPv4 ټاکونکي څخه بهر IPv6 منزل، د غلطې فرعي شبکې سرچینه پته، او له ماشوم څخه تنګه پالیسي ټول هماغه صفر پیدا کوي۔ لومړی ترټولو تنګه لامل سم کړئ، ځکه چې یوازې د شمېرې د خوځولو لپاره ټاکونکی پراخول هغه څه بدلوي چې تونل یې ساتنه کوي۔

بیا د پاکټ سرچینه ده، هغه تله چې یو ګېټوې خپل آپریټر لپاره اېږدي۔ هغه ټرافیک چې ګېټوې پخپله جوړوي د وتلو پالیسۍ سره سمون خوري، پداسې حال کې چې هغه پاکټ چې د یو کليېنټ لپاره یې لېږدوي د لېږد پالیسۍ سره سمون خوري، نو له بکس څخه ping کولای شي په داسې لار بریالي شي چې هېڅ کليېنټ یې هېڅکله نه نیسي۔

یو بدلون چې بېرته کیدلی شي او یو راپور چې بیاکتنې ته درېږي

یوازې یو عنصر بدل کړئ، هماغه غوښتنه تکرار کړئ او هماغه شمېرونکي ولولئ۔ د فایر وال هره قاعده پاکول یا ټول ټاکونکي یو ځل بدلول به یوه شمېره وخوځوي او هغه شواهد له منځه یوسي چې تاسو ته یې ویل چې ولې۔ که دوهمه منډه لا هم صفر ښیي، نو تاسو یوه فرضیه لرې کړه پرته له دې چې ماسپښین ضایع کړئ۔

موندنه داسې ولیکئ چې بل څوک یې تکرارولی شي: د ماشوم نوم، منل شوي حدونه، هغه سرچینه چې تاسو وتړله، هغه منزل چې تاسو ازموینه کړه، هغه خوا چې صفر پاتې شوه، او هغه SPI چې تاسو لوستله۔ هغه جمله هغه اړیکه جلا کوي چې چا نه ده کارولې له هغې لرې اپلیکیشن څخه چې ټرافیک یې ترلاسه کړ او رد یې کړ۔ کله چې بدلون شمېرونکي ونه خوځول، بېرته یې وګرځوئ او ثبت یې وساتئ؛ بل کس له هغه ځایه پیل کوي چې تاسو ودرېدلئ۔ په دې ټولو کې په تونل کې هېڅ شی بیا جوړولو ته اړ نه و، او د ترتیباتو له لمس کولو دمخه د سمون کتلو معنا همدا ده۔