Zaznavanje mrtvega partnerja v IKEv2 ne preizkusi vaše aplikacije

Preverjanje živosti IKEv2 postavi eno vprašanje: ali drugi partner še odgovarja na zaščitenem krmilnem odnosu. Ne meri, ali je notranja aplikacija zdrava, ali za prehodom obstaja pot, ali se brskanje zdi hitro. Preverjanje lahko uspe, medtem ko vse koristno za tunelom odpove.

Preden spremenite časovnik, preberite obe vrsti dokazov ločeno.

Kaj preverjanje živosti v resnici vpraša

Izmenjava živosti se pošlje znotraj vzpostavljene varnostne asociacije IKE in pričakuje odgovor v nastavljenem oknu. Uspeh pomeni da je izvedba IKE partnerja še vedno tam in še vedno pripravljena govoriti. O podrejenih varnostnih asociacijah, ki prenašajo promet, ne pove ničesar, o usmerjanju za prehodom ničesar in o storitvi, zaradi katere ste odprli tunel, ničesar. To so tri ločena vprašanja s tremi ločenimi načini odpovedi.

Ta razlika odloči, kam pogledati, ko seja utihne. Partner, ki še naprej odgovarja, medtem ko je podatkovna pot pokvarjena, kaže na pravilnike, usmerjanje ali storitev nižje. Partner, ki preneha odgovarjati, kaže na dosegljivost ali na lastno stanje oddaljenega konca.

Preberite varnostne asociacije pred brskalnikom

Krmilno stanje in podatkovno stanje se izpišeta ločeno, ko vprašate demona, števci pa povedo, ali je bilo sploh kaj poskušeno. Podrejena asociacija, ki ni bila nikoli nameščena, je videti povsem drugače kot tista, ki je bila nameščena in je nato prenehala prepuščati pakete, čeprav obe dajeta enako uporabniško pritožbo.

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

Imena stanj zapišite dobesedno v zahtevek, skupaj s števci v trenutku pritožbe. Opis, kot je tunel dol, skrije, katera od dveh asociacij se je končala, in to je običajno edino dejstvo, ki se ga splača imeti.

Odpoved poti je videti natanko kot mrtev partner

Prehod lahko odgovarja na krmilne izmenjave, medtem ko je zasebni strežnik brez povezave, posredovana pot manjka ali notranje razreševanje imen popolnoma odpove. S stališča odjemalca je vsak od teh videti kot seja, ki je aktivna, in cilj, ki ni. Povratno pot preverite enako skrbno kot pot naprej, ker asimetrično usmerjanje na oddaljeni strani ustvari tišino le v eni smeri.

Preizkusite ciljno aplikacijo neposredno in navedite naslov, ki ga je poskusila, namesto da preizkušate, ali je tunel aktiven. Ping na prehod dokaže, da prehod odgovarja; nikoli ni dokazal, da je odgovorila aplikacija. Zapišite točen naslov, ki ga je aplikacija poskusila. Ta niz pozneje zoži iskanje in to je edino dejstvo, ki ga zahtevek običajno izpusti.

Časovnike držite zunaj diagnoze

Skrajšanje intervala zaznavanja ni sprememba zmogljivosti in ne doda kapacitete. Ob izgubi paketov spremeni, kako hitro se okvara prepozna, kar lahko povzroči, da je simptom videti drugačen, ne da bi se kar koli izboljšalo. Najprej zapišite dejanski čas okvare, nato presodite, ali je toleranca napačna za povezavo, ki jo res imate.

Osvežitve preslikave NAT spadajo v isto kategorijo. Ohranjajo prevedeno pot uporabno in niso dokaz, da oddaljena aplikacija deluje.

Celotna politika obnovitve pove, kaj naj odjemalec naredi, ko je partner razglašen za mrtvega: znova zagnati, zapreti ali zadržati, in kaj sme drug promet početi medtem. Brez tega se isti dogodek vsako četrtletje diagnosticira od začetka.