IPsec podređena SA je uspostavljena, ali brojači paketa ostaju nula

Podigli ste tunel, tajmer za obnovu ključeva odbrojava, a u oba smjera i dalje stoji nula paketa. Taj par brojeva ne govori da je partner odbio vaš tunel: instalirana CHILD SA s mirovanjem brojača normalno je stanje asocijacije s kojom se još ništa nije poklopilo. Posao je dokazati da se paket trebao poklopiti, a zatim pronaći točku u kojoj je napustio putanju koju opisuju selektori. Uradite to jednom, po redu, i držite zahtjev identičnim između pokretanja.

Šta nulti brojač zapravo dokazuje

CHILD SA je par selektora plus ključevi i SPI koji šifriraju saobraćaj koji pada unutar tih raspona. Instalirati je znači samo da su se obje strane složile oko tih raspona i izvedenih ključeva; kernel će je držati satima bez ijednog pristiglog paketa. Pitanje stoga nikad nije postoji li tunel, nego je li ijedan paket vašeg testa pao unutar raspona o kojima su se strane dogovorile. Ako nije, brojači ostaju na nuli, a asocijacija istječe neiskorištena na kraju svog vijeka.

Ta razlika mijenja ono što prvo pregledate. Odbijena ponuda, neuspjela autentifikacija ili IKE SA koja umire pojavljuju se u dnevniku ili na listi SA, a ne kao tiha nula. Tunel koji se čisto dogovori i zatim miruje upućuje na poklapanje, rutiranje ili porijeklo testnog saobraćaja.

Pošaljite tok koji možete opisati prije nego što ga pošaljete

Odaberite odredište unutar zaštićene podmreže i otvorite novu vezu prema njemu; stranica koju ste učitali prije sat vremena može doći iz keša, a keširani odgovor nikad ne dotiče tunel. Zatim zapišite četiri vrijednosti dok je zahtjev još hipotetički: izvorišnu adresu koju će aplikacija vezati, odredište, porodicu adresa i ime ili par selektora djeteta koje gledate. Taj zapis pretvara ravan brojač u provjerljivu tvrdnju.

Izvorišna adresa je vrijednost koju ljudi preskaču i upravo ona najčešće kvari test. Prijenosnik sa žičnom adresom, Wi-Fi adresom i adresom tunela može vezati bilo koju od njih ovisno o traženju rute, a samo jedna može biti unutar dogovorenog raspona. Koristite alat koji vam omogućava da prikvačite izvor, poput ping -I 10.1.0.5 10.2.0.9 ili curl --interface 10.1.0.5, kako paket ne bi tiho odabrao drugu adresu. Kad prikvačeno pokretanje pomjeri brojače a neprikvačeno ne, pronašli ste problem s rutiranjem, a ne s IPsec-om.

Koje brojeve čitati i gdje oni žive

Na Linuxu ip -s xfrm state ispisuje svaku asocijaciju s linijom lifetime current: čiji ukupni bajtovi i paketi pripadaju samo toj SA, a zatim slijedi linija stats: za brojače ponavljanja i grešaka. Na strongSwan partneru swanctl --list-sas prikazuje jednu liniju in i jednu liniju out po instaliranom djetetu, svaka završava brojem bajtova i brojem paketa; stariji stroke alati isti par nazivaju bytes_i i bytes_o. Čitajte dva smjera odvojeno, jer smjer koji je ostao ravan jeste nalaz. Sabiranje ih skriva upravo onu asimetriju koju tražite.

Oba prikaza su po asocijaciji, pa obnova ključeva instalira svježi par SPI i vaša se osnovica vraća na nulu bez ičega pokvarenog. Zapišite SPI koji gledate prije nego što tajmer obnove opali, inače ćete novu SA uporediti sa starim brojem. Ako odlazni raste dok ulazni ostaje ravan, selektor se poklopio i odgovor se nikad nije vratio, što istragu preusmjerava na prosljeđivanje partnera i njegovu vlastitu politiku. strongSwanova dokumentacija za konfiguraciju IKEv2 pokriva životni ciklus podređene SA i vrijeme obnove iza tih brojeva.

Točka promatranja je zasebna varijabla od porijekla paketa. Hardversko rasterećenje može povećati brojače asocijacije dok softversko snimanje na interfejsu ne pokazuje ništa, jer rasterećeni paketi preskaču kuku na kojoj snimanje sjedi, a ulazni smjer može odstupiti na isti način. Kad se njih dvoje ne slažu, upotrijebite brojače da odgovorite je li se nešto poklopilo, a snimanje da odgovorite kako je paket izgledao.

Ruta, selektori i gdje je paket rođen

Uporedite tri stvari jednu uz drugu: rutu koju kernel bira za vaše odredište, politiku koja usmjerava saobraćaj u tunel i par selektora koji je dijete dogovorilo. ip route get 10.2.0.9 from 10.1.0.5 imenuje interfejs i izvor koje bi kernel koristio, a to često nije par koji ste pretpostavili. ip xfrm policy pokazuje lokalno instalirane šablone i selektore, dok swanctl --list-sas pokazuje oko čega se partner složio. Pretraga koja paket šalje kroz fizički interfejs uopće ne stiže do politike, pa se brojači ne mogu pomjeriti.

Nepoklapanja dolaze u nekoliko vrsta koje s brojača izgledaju isto. IPv6 odredište izvan IPv4 selektora, izvorišna adresa iz pogrešne podmreže i politika uža od djeteta svi daju istu nulu. Prvo ispravite najužniji uzrok, jer širenje selektora samo da biste pomjerili broj mijenja ono što tunel štiti.

Zatim je tu porijeklo paketa, zamka koju gateway postavlja vlastitom operateru. Saobraćaj koji gateway sam generiše upoređuje se s izlaznom politikom, dok se paket koji prosljeđuje za klijenta upoređuje s politikom prosljeđivanja, pa ping s kutije može uspjeti na putanji kojom nijedan klijent ne ide.

Jedna reverzibilna promjena i izvještaj koji preživi pregled

Promijenite jedan element, ponovite identičan zahtjev i pročitajte iste brojače. Brisanje svih firewall pravila ili zamjena svih selektora odjednom pomjerit će broj i uništiti dokaz koji vam je rekao zašto. Ako i drugo pokretanje pokazuje nulu, eliminirali ste jednu hipotezu umjesto da potrošite poslijepodne.

Zapišite nalaz u obliku koji drugi može reproducirati: ime djeteta, prihvaćeni rasponi, izvor koji ste prikvačili, odredište koje ste testirali, smjer koji je ostao na nuli i SPI koji ste čitali. Ta rečenica razdvaja asocijaciju koju nitko nije koristio od udaljene aplikacije koja je primila saobraćaj i odbila ga. Vratite promjenu kad nije pomjerila brojače i sačuvajte zapis; sljedeća osoba počinje tamo gdje ste stali. Ništa na tunelu nije trebalo ponovo graditi za sve to, i u tome je smisao provjere poklapanja prije diranja konfiguracije.