DPD odgovori dokazuju da je IKE peer živ, a ne da vaši podaci teku
Odgovori o živosti, obaveštenje o popunjavanju i suženi selektori opisuju tri različite stvari. Čitajte ih odvojeno pre nego što jednu okrivite za zastoj.
IPsec logovi mogu prikazivati odgovore o živosti dok aplikacija ispred njih stoji, a obe činjenice mogu biti istovremeno tačne. DPD odgovor utvrđuje da je IKE obrada peera odgovorila u tom trenutku; on ne govori ništa o tome da li dete SA nosi paket koji vas zanima. Tretirati svako upozorenje blizu prekida kao njegov uzrok jeste način na koji se problem selektora dijagnostikuje kao greška protokola. Tri zapažanja se najčešće mešaju i ona odgovaraju na tri različita pitanja. Čitajte ih po vezi i nameni pre nego što ih čitate po vremenskoj oznaci.
Šta svako zapažanje dokazuje
Tabela razdvaja šta svako zapažanje utvrđuje od onoga što samo prati.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Nijedno od tri nije greška samo po sebi. Svako postaje zanimljivo tek pored toka koji otklanjate, a red koji se ne može vezati za konkretan tok je kontekst, a ne dokaz.
Živost nije zdravlje podataka
DPD radi kao INFORMATIONAL razmena, razgovor kontrolne ravni između IKE demona. Odgovor dokazuje da je IKE proces peera dostupan i voljan da odgovori, a istek vremena dokazuje da nije. Nijedan rezultat ne proverava dete SA, selektore, put prosleđivanja ili odgovor aplikacije, pa je zdrav DPD uz zaustavljen prenos koherentna slika, a ne protivrečnost.
Zato su linije živosti najmanje koristan deo tiketa podatkovne ravni, koliko god umirujuće izgledale na vrhu loga.
Obaveštenje o popunjavanju je izjava o popunjavanju
TFC popunjavanje je najviše prečitan red u ovim logovima. Ono kaže da popunjavanje radi poverljivosti toka saobraćaja neće biti prihvaćeno za to dete SA, što je izjava o opcionoj funkciji popunjavanja, a ne odbijanje ESP zaštite. Pronalaženje istog blizu kvara obično je slučajnost rečitosti, a uključivanje ili isključivanje popunjavanja ne menja ništa u pokrivenosti selektora.
Specifikacija IKEv2 definiše i obaveštenje i pregovaranje o selektorima, a oznaka upozorenja neke implementacije ni u jednom slučaju ne zamenjuje značenje protokola.
Sužavanje je tiše i verovatnije važno
Odgovarač može prihvatiti podskup ponuđenih selektora, a prihvaćeni skup može biti ispisan kroz nekoliko unosa, jedan kvalifikovan portom i drugi koji pokriva sve portove. Čitanje samo prvog reda kvalifikovanog portom potcenjuje ono što je prihvaćeno; čitanje samo širokog reda ga precenjuje. Uporedite ispisani predlog sa instaliranom politikom, jer predlog je ono što su peerovi rekli, a politika je ono što će jezgro upariti. Kada se ne slažu, tunel postoji, a saobraćaj ne, što je klasična povremena žalba. Obrnite lokalnu i udaljenu perspektivu kada upoređujete peere, jer lokalno svake strane je udaljeno one druge.
Unosi specifični za host s ograničenjem porta vrede dvostrukog čitanja, jer upravo oni isključuju ICMP ili drugi port dok ping prema gatewayu ostaje funkcionalan.
Napravite jedan zapis za tok koji ne uspeva
Zapišite izvor, odredište, porodicu adresa, protokol i port kako se vide pri odluci o zaštiti, uključujući svako namerno prevođenje. To su vrednosti koje moraju odgovarati selektoru, a to su i vrednosti koje ljudi prepisuju po sećanju kada tiket dođe do trećeg para ruku.
Zatim identifikujte dete SA i njegove smerne brojače: swanctl --list-sas daje sažetak asocijacije na strongSwan hostu, a ip -s xfrm state daje brojače. Čitajte ih nakon svežeg dozvoljenog zahteva, a ne dok sistem miruje. Izostanak rasta odlaznog saobraćaja ukazuje na selekciju ili lokalni put; odlazni bez odgovarajućeg dolaznog ukazuje na peera, njegovo prosleđivanje ili njegove odgovore.
Završena razmena aplikacije nadjačava bilo koji brojač, zato test treba završiti na aplikaciji, a ne na indikatoru tunela.
Odaberite ispravku nakon toga
Tek nakon što taj zapis postoji, postoji ispravka koju treba odabrati: prihvaćeni selektori, ruta, filtriranje, implementacija peera ili granica koju ste sada dokazali. Resetovanje peera menja nekoliko stanja odjednom i često vraća saobraćaj bez objašnjenja koje je bilo pogrešno, pa se prekid vraća. Držite ispise stanja jezgra izvan tiketa, jer mogu sadržavati ključeve, a kratak sažetak je dovoljan svakome kome treba pomoć.
Kada se zapis protivi vašoj prvoj teoriji, verujte zapisu i prepišite teoriju; ta navika vredi više od bilo koje pojedinačne linije loga o kojoj se ovde govori.