Odgovori DPD dokazujejo, da je partner IKE živ, ne pa da vaši podatki tečejo
Odgovori o živosti, obvestilo o zapolnjevanju in zoženi selektorji opisujejo tri različne stvari. Berite jih ločeno, preden enega obtožite zastoja.
Dnevniki IPsec lahko prikazujejo odgovore o živosti, medtem ko aplikacija pred njimi stoji, in obe dejstvi lahko veljata hkrati. Odgovor DPD ugotavlja, da je obdelava IKE partnerja v tistem trenutku odgovorila; ne pove ničesar o tem, ali podrejena SA prenaša paket, ki vas zanima. Obravnavati vsako opozorilo ob izpadu kot njegov vzrok je način, kako se težava selektorja diagnosticira kot napaka protokola. Tri opažanja se najpogosteje zamenjujejo in odgovarjajo na tri različna vprašanja. Berite jih po povezavi in namenu, preden jih berete po časovnem žigu.
Kaj dokazuje vsako opažanje
Tabela ločuje, kaj vsako opažanje ugotavlja, od tega, kar ga le spremlja.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Nobeno od treh ni samo po sebi napaka. Vsako postane zanimivo šele ob toku, ki ga odpravljate, in vrstica, ki je ni mogoče povezati s konkretnim tokom, je kontekst, ne dokaz.
Živost ni zdravje podatkov
DPD teče kot izmenjava INFORMATIONAL, pogovor krmilne ravnine med demoni IKE. Odgovor dokazuje, da je proces IKE partnerja dosegljiv in pripravljen odgovoriti, potek časa pa dokazuje, da ni. Noben rezultat ne preizkusi podrejene SA, selektorjev, poti posredovanja ali odgovora aplikacije, zato je zdravo DPD ob ustavljenem prenosu skladna slika, ne protislovje.
Zato so vrstice o živosti najmanj uporaben del vozovnice podatkovne ravnine, ne glede na to, kako pomirjujoče so na vrhu dnevnika.
Obvestilo o zapolnjevanju je izjava o zapolnjevanju
Zapolnjevanje TFC je najbolj prebrana vrstica v teh dnevnikih. Pravi, da zapolnjevanje za zaupnost toka prometa ne bo sprejeto za to podrejeno SA, kar je izjava o izbirni funkciji zapolnjevanja, ne pa zavrnitev zaščite ESP. Najti ga ob okvari je običajno naključje zaradi zgovornosti, vklop ali izklop zapolnjevanja pa ne spremeni ničesar pri pokritosti selektorjev.
Specifikacija IKEv2 opredeljuje tako obvestilo kot pogajanja o selektorjih, in opozorilna oznaka implementacije v nobenem od obeh primerov ne nadomesti pomena protokola.
Zoženje je tišje in verjetneje pomembno
Odgovarjajoča stran lahko sprejme podmnožico ponujenih selektorjev, sprejeta množica pa je lahko natisnjena v več vnosih, eden kvalificiran s pristaniščem in drugi, ki pokriva vsa pristanišča. Branje samo prve vrstice, kvalificirane s pristaniščem, podcenjuje sprejeto; branje samo široke vrstice ga preceni. Primerjajte natisnjen predlog z nameščeno politiko, ker predlog je tisto, kar so partnerji rekli, politika pa tisto, s čimer se bo ujemalo jedro. Ko se ne ujemata, tunel obstaja, promet pa ne, kar je klasična občasna pritožba. Pri primerjavi partnerjev obrnite lokalno in oddaljeno perspektivo, saj je lokalno vsake strani oddaljeno druge.
Vnosi, specifični za gostitelja, z omejitvijo pristanišča so vredni dvojnega branja, ker prav ti izključujejo ICMP ali drugo pristanišče, medtem ko ping do prehoda še vedno deluje.
Zgradite en zapis za tok, ki ne uspe
Zapišite vir, cilj, družino naslovov, protokol in pristanišče, kot so vidni pri odločitvi o zaščiti, vključno z vsakim namernim prevodom. To so vrednosti, ki se morajo ujemati s selektorjem, in to so tudi vrednosti, ki jih ljudje prepišejo iz spomina, ko vozovnica pride do tretjega para rok.
Nato prepoznajte podrejeno SA in njene smerne števce: swanctl --list-sas poda povzetek asociacije na gostitelju strongSwan, ip -s xfrm state pa števce. Berite jih po sveži dovoljeni zahtevi, ne ko sistem miruje. Nobeno povečanje odhodnega prometa ne kaže na izbiro ali lokalno pot; odhodni brez ustreznega vhodnega kaže na partnerja, njegovo posredovanje ali njegove odgovore.
Zaključena izmenjava aplikacije presega kateri koli števec, zato bi se moral preskus končati pri aplikaciji, ne pri indikatorju tunela.
Nato izberite popravek
Šele ko ta zapis obstaja, je popravek, ki ga je mogoče izbrati: sprejeti selektorji, pot, filtriranje, implementacija partnerja ali meja, ki ste jo pravkar dokazali. Ponastavitev partnerja spremeni več stanj hkrati in pogosto obnovi promet, ne da bi pojasnila, katero je bilo napačno, zato se izpad vrne. Izpise stanja jedra hranite zunaj vozovnic, ker lahko vsebujejo ključe, in ozek povzetek zadostuje vsakomur, ki mora pomagati.
Ko zapis nasprotuje vaši prvi teoriji, verjemite zapisu in teorijo prepišite; ta navada je vredna več kot katera koli posamezna vrstica dnevnika, obravnavana tukaj.