Poizvedba v bazi podatkov se obesi prek IPsec: preurejanje UDP ali TCP?

Poizvedba, ki se obesi po rokovanju TCP, ni težava usmerjanja. Napake poti pokvarijo rokovanje, zato seja, ki se vzpostavi in nato utihne, kaže v notranjost poti: pregled, MTU ali način, kako pridejo paketi UDP tunela. Odločitev pred vami je, ali popraviti to pot ali tunel prestaviti na TCP. Trije pogoji to odločijo in noben ni o bazi podatkov.

Razvrstite zastoj, preden obtožite tunel

Štirje izidi so za uporabnika videti enaki, za inženirja pa pomenijo povsem različne stvari.

Čas na tunelu upravičujeta le zadnji dve vrstici. Zavrnjena povezava prek VPN je običajno baza podatkov, ki posluša le na loopback, kar je težava poslušalca, časovna omejitev pred rokovanjem pa je filter ali pot. Nobeno se ne izboljša s spremembo enkapsulacije.

Najprej zapišite razvrstitev v zahtevek. To je najcenejši korak in odstrani večino prostora za iskanje.

Trije pogoji, ki odločijo med UDP in TCP

Enkapsuliran promet IPsec potuje po UDP, UDP pa daje poti svobodo preurejati in spuščati, ne da bi komu povedal. Ko preurejanje potisne pakete izven okna proti ponavljanju tunela, so tiho zavrženi, notranja seja TCP pa preprosto čaka. To je mehanizem za uspešnim rokovanjem in poizvedbo, ki se nikoli ne vrne.

Popravilo poti ali vrnitev na TCP je odvisno od treh stvari. Prvič, ali je na poti resnična izguba paketov ali le preurejanje? Drugič, ali lahko spremenite, kje poteka pregled, ali ta tunel izključite iz komponente, ki preureja? Tretjič, ali je obremenitev občutljiva na vzorec zastojev, na primer veliko multipleksiranih sej, ki si delijo eno povezavo?

Če je prvi odgovor izguba, drugi pa ne,je TCP na 443 pragmatična rezerva. Če je drugi odgovor da, popravite pot in obdržite UDP.

Berite zapis požarnega zidu, ne napake aplikacije

Aplikacija poroča o časovni omejitvi, kar o vzroku ne pove ničesar. Lasten dnevnik požarnega zidu je mesto, kjer se pojavi zavrženje ali blokiranje, zato filtrirajte po naslovih baze podatkov in aplikacije ter iščite zavrženja in tudi sprejetja.Moduli za preprečevanje groženj lahko zavržejo pakete, ne da bi ustvarili napako na ravni aplikacije, in to je natanko oblika poizvedbe, ki se obesi. Tišina v dnevniku je tudi podatek: kaže na nekaj, kar ne beleži, na primer preurejanje.

Preverite tudi gručo. Napačno nastavljena gruča lahko drži sejo v tabeli stanj na enem članu, medtem ko paketi gredo po poti drugega člana, zato odgovori prispejo tja, kjer ni stanja. Takšni zastoji izgledajo naključni in niso povezani z obremenitvijo.

Primerjajte oba konca, preden karkoli spremenite, in primerjajte vrstni red prihoda, ne števila paketov:

tcpdump -ni any udp port 4500 -w /tmp/encap.pcap
tcpdump -ni any tcp port 5432 -w /tmp/inner.pcap

Kaj vas TCP na 443 v resnici stane

Prestavitev tunela na TCP odpravi simptom preurejanja, ker vmesnik zdaj vidi urejen tok. Ustvari pa tudi TCP prek TCP. Zunanja povezava znova pošlje to, kar je notranja že poslala, in ena sama izguba lahko hkrati ustavi vse multipleksirane seje. Na čisti poti je to nevidno. Na poti z izgubami je zdravilo slabše od simptoma.

Zamenjava je sprejemljiva, kadar je alternativa popolna odsotnost povezljivosti, in jo je treba dokumentirati kot izjemo z odgovorno osebo, ne pa sprejeti kot običajno.

Zabeležite transport, vrata, vzorčno poizvedbo in izmerjeni rezultat ter datum. Brez tega zapisa naslednji inženir ponovi poskus in izjema tiho postane arhitektura.

Naj odločitev ostane pregledna

Diagnoza poti hitro zastara. Vmesnik zamenjajo, konfiguracija modula se spremeni, povezavo nadgradijo in razlog za TCP na 443 izgine, medtem ko konfiguracija ostane. Postavite datum pregleda na izjemo in poimenujte pogoj, ki bi vam omogočil vrnitev na UDP.

Preizkusite oba transporta z majhno poizvedbo in z velikim nizom rezultatov. Preurejanje se pokaže kot zastoji, odvisni od velikosti, medtem ko okvara poslušalca ustavi obe velikosti enako.