Odpovede DPD dokazujú, že partner IKE je živý, nie že vaše dáta tečú
Odpovede o životnosti, oznámenie o dopĺňaní a zúžené selektory opisujú tri rôzne veci. Čítajte ich oddelene, skôr než jedno z nich obviníte zo zaseknutia.
Protokoly IPsec môžu zobrazovať odpovede o životnosti, zatiaľ čo aplikácia pred nimi stojí, a obe skutočnosti môžu platiť súčasne. Odpoveď DPD potvrdzuje, že spracovanie IKE partnera vtedy odpovedalo; nič nehovorí o tom, či podradená SA prenáša paket, ktorý potrebujete. Považovať každé varovanie pri výpadku za jeho príčinu je spôsob, akým sa problém selektora diagnostikuje ako chyba protokolu. Najčastejšie sa zamieňajú tri pozorovania a tie odpovedajú na tri rôzne otázky. Čítajte ich podľa súvislosti a účelu, skôr než ich začnete čítať podľa časovej značky.
Čo každé pozorovanie dokazuje
Tabuľka oddeľuje, čo každé pozorovanie potvrdzuje, od toho, čo ho len sprevádza.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Žiadne z troch nie je samo o sebe chybou. Každé začne byť zaujímavé až vedľa toku, ktorý ladíte, a riadok, ktorý nemožno zviazať s konkrétnym tokom, je kontext, nie dôkaz.
Životnosť nie je zdravie dát
DPD beží ako výmena INFORMATIONAL, rozhovor riadiacej roviny medzi démonmi IKE. Odpoveď dokazuje, že proces IKE partnera je dostupný a ochotný odpovedať, a vypršanie času dokazuje, že nie je. Ani jeden výsledok nepreveruje podradenú SA, selektory, cestu preposielania ani odpoveď aplikácie, takže zdravé DPD vedľa zastaveného prenosu je súvislý obraz, nie rozpor.
Preto sú riadky o životnosti najmenej užitočnou časťou tiketu dátovej roviny, nech už v hornej časti záznamu vyzerajú akokoľvek upokojujúco.
Oznámenie o dopĺňaní je tvrdenie o dopĺňaní
Dopĺňanie TFC je najviac prečítaný riadok v týchto protokoloch. Hovorí, že dopĺňanie pre dôvernosť toku prevádzky nebude pre túto podradenú SA prijaté, čo je tvrdenie o voliteľnej funkcii dopĺňania, nie odmietnutie ochrany ESP. Nájsť ho pri zlyhaní je zvyčajne náhoda danej mnohovravnosťou a zapnutie či vypnutie dopĺňania nič nemení na pokrytí selektorov.
Špecifikácia IKEv2 definuje ako oznámenie, tak vyjednávanie selektorov, a výstražný štítok implementácie v žiadnom z oboch prípadov nenahrádza význam protokolu.
Zužovanie je tichšie a pravdepodobnejšie dôležité
Odpovedajúca strana môže prijať podmnožinu ponúknutých selektorov a prijatá množina môže byť vytlačená v niekoľkých položkách, jedna kvalifikovaná portom a druhá pokrývajúca všetky porty. Čítanie iba prvého riadku kvalifikovaného portom podhodnocuje, čo bolo prijaté; čítanie iba širokého riadku to nadhodnocuje. Porovnajte vytlačený návrh s nainštalovanou politikou, pretože návrh je to, čo partneri povedali, a politika je to, čo bude jadro porovnávať. Keď sa nezhodujú, tunel existuje a prevádzka nie, čo je klasická občasná sťažnosť. Pri porovnávaní partnerov obráťte miestnu a vzdialenú perspektívu, pretože miestne každej strany je vzdialené tej druhej.
Položky špecifické pre hostiteľa s obmedzením portu stoja za dvojité čítanie, pretože práve ony vylučujú ICMP alebo druhý port, pričom ping na bránu zostáva funkčný.
Vytvorte jeden záznam pre zlyhávajúci tok
Zaznamenajte zdroj, cieľ, rodinu adries, protokol a port tak, ako ich vidieť pri rozhodnutí o ochrane, vrátane akéhokoľvek zámerného prekladu. To sú hodnoty, ktoré musia zodpovedať selektoru, a sú to aj hodnoty, ktoré ľudia prepisujú z pamäti, keď sa tiket dostane k tretiemu páru rúk.
Potom identifikujte podradenú SA a jej smerové počítadlá: swanctl --list-sas dáva súhrn asociácie na hostiteľovi strongSwan a ip -s xfrm state dáva počítadlá. Čítajte ich po čerstvej povolenej požiadavke, nie keď systém nečinne stojí. Žiadny nárast odchádzajúcej prevádzky ukazuje na výber alebo miestnu cestu; odchádzajúca bez zodpovedajúcej prichádzajúcej ukazuje na partnera, jeho preposielanie alebo jeho odpovede.
Dokončená výmena aplikácie prevyšuje ktorékoľvek počítadlo, preto by test mal skončiť pri aplikácii, nie pri indikátore tunela.
Potom zvoľte opravu
Až keď tento záznam existuje, je z čoho vyberať opravu: prijaté selektory, trasa, filtrovanie, implementácia partnera alebo hranica, ktorú ste teraz preukázali. Resetovanie partnera mení niekoľko stavov naraz a často obnoví prevádzku bez vysvetlenia, ktorý bol nesprávny, takže výpadok sa vráti. Uchovávajte výpisy stavu jadra mimo tiketov, pretože môžu obsahovať kľúče a úzky súhrn stačí každému, kto potrebuje pomôcť.
Keď záznam odporuje vašej prvej teórii, verte záznamu a teóriu prepíšte; tento zvyk má väčšiu cenu než ktorýkoľvek jednotlivý riadok protokolu spomenutý tu.