Podrejena SA IPsec je vzpostavljena, a števci paketov ostajajo pri ničli

Tunel ste dvignili, časovnik za obnovo ključev odšteva, obe smeri pa še vedno kažeta nič paketov. Nič v tem paru števil ne pravi, da je peer zavrnil vaš tunel: nameščena CHILD SA z nedejavnimi števci je običajno stanje asociacije, s katero se še ni nič ujemalo. Naloga je dokazati, da bi se paket moral ujemati, nato pa najti točko, kjer je zapustil pot, ki jo opisujejo selektorji. Naredite to enkrat, po vrsti, in zahtevo med zagoni ohranite enako.

Kaj ničelni števec v resnici dokaže

CHILD SA je par selektorjev plus ključi in SPI, ki šifrirajo promet, ki pade v te razpone. Namestiti jo pomeni le, da sta se oba peera dogovorila o teh razponih in izpeljanih ključih; jedro jo bo držalo ure in ure, ne da bi prišel en sam paket. Vprašanje torej nikoli ni, ali tunel obstaja, ampak ali je kateri paket, ki ga je poslal vaš test, padel v razpone, o katerih sta se peera dogovorila. Če noben ni, števci ostanejo pri ničli in asociacija poteče neuporabljena ob koncu svoje življenjske dobe.

Ta razlika spremeni, kaj pregledate najprej. Zavrnjen predlog, neuspešna overitev ali umirajoča IKE SA se pokažejo v dnevniku ali na seznamu SA, ne kot tiha ničla. Tunel, ki se čisto dogovori in nato obmiruje, kaže raje na ujemanje, usmerjanje ali izvor testnega prometa.

Pošljite tok, ki ga znate opisati, preden ga pošljete

Izberite cilj v zaščitenem podomrežju in do njega odprite novo povezavo; stran, naložena pred uro, lahko pride iz predpomnilnika in predpomnjeni odgovor se tunela nikoli ne dotakne. Nato zapišite štiri vrednosti, medtem ko je zahteva še hipotetična: izvorni naslov, ki ga bo aplikacija vezala, cilj, družino naslovov ter ime ali par selektorjev podrejene SA, ki jo opazujete. Prav ta zapis spremeni ploski števec v preverljivo trditev.

Izvorni naslov je vrednost, ki jo ljudje izpustijo, in prav ta najpogosteje pokvari test. Prenosnik z žičnim naslovom, naslovom Wi-Fi in naslovom tunela lahko veže katerega koli od njih glede na iskanje poti, in le eden lahko leži v dogovorjenem razponu. Uporabite orodje, ki omogoča pripeti izvor, na primer ping -I 10.1.0.5 10.2.0.9 ali curl --interface 10.1.0.5, da si paket ne more tiho izbrati drugega naslova. Ko pripeti zagon premakne števce, nepripeti pa ne, ste našli težavo usmerjanja in ne težavo IPsec.

Katere številke brati in kje živijo

V Linuxu ip -s xfrm state izpiše vsako asociacijo z vrstico lifetime current:, katere vsota bajtov in vsota paketov pripadata le tej SA, temu sledi vrstica stats: s števci ponovitev in napak. Pri peeru strongSwan swanctl --list-sas izpiše eno vrstico in in eno vrstico out za vsako nameščeno podrejeno SA, vsaka se konča s številom bajtov in številom paketov; starejša orodja stroke isti par imenujejo bytes_i in bytes_o. Berite obe smeri ločeno, ker je tista, ki je ostala ploska, ugotovitev. Seštevanje obeh skrije natanko tisto asimetrijo, ki jo iščete.

Oba pogleda sta na asociacijo, zato obnova ključev namesti nov par SPI in vaša osnovna črta se vrne na ničlo, ne da bi se karkoli pokvarilo. Zapišite SPI, ki ga opazujete, preden se sproži časovnik za obnovo ključev, sicer boste novo SA primerjali s staro številko. Če odhodna smer raste, medtem ko dohodna ostaja ploska, se je selektor ujemal, odgovor pa se ni nikoli vrnil, kar preusmeri preiskavo na posredovanje peera in njegovo lastno politiko. Dokumentacija o konfiguraciji IKEv2 strongSwana pokriva življenjski cikel podrejene SA in čas obnove ključev za temi števili.

Točka opazovanja je ločena spremenljivka od izvora paketa. Strojna razbremenitev lahko povečuje števce asociacije, medtem ko programski zajem na vmesniku ne pokaže ničesar, ker razbremenjeni paketi preskočijo kavelj, na katerem sedi zajem, in dohodna smer lahko odstopa enako. Ko se ta dva vira ne strinjata, uporabite števce za odgovor, ali se je kaj ujemalo, in zajem za odgovor, kako je paket izgledal.

Pot, selektorji in kje se je paket rodil

Primerjajte tri stvari drugo ob drugi: pot, ki jo jedro izbere za vaš cilj, politiko, ki usmeri promet v tunel, in par selektorjev, o katerem se je dogovorila podrejena SA. ip route get 10.2.0.9 from 10.1.0.5 poimenuje vmesnik in izvor, ki bi ju jedro uporabilo, kar pogosto ni par, ki ste ga predpostavili. ip xfrm policy prikaže predloge in selektorje, nameščene lokalno, medtem ko swanctl --list-sas prikaže, s čim se je peer strinjal. Iskanje, ki paket pošlje skozi fizični vmesnik, do politike sploh ne pride, zato se števci ne morejo premakniti.

Neujemanja pridejo v več oblikah, ki so s števca videti enako. Cilj IPv6 zunaj selektorja IPv4, izvorni naslov iz napačnega podomrežja in politika, ožja od podrejene SA, dajo vsi isto ničlo. Najprej popravite najožji vzrok, ker razširitev selektorja samo zato, da bi premaknili število, spremeni, kaj tunel ščiti.

Nato je tu izvor paketa, past, ki jo prehod nastavi lastnemu operaterju. Promet, ki ga prehod ustvari sam, se primerja z izhodno politiko, medtem ko se paket, ki ga posreduje za odjemalca, primerja s politiko posredovanja, zato lahko ping s škatle uspe na poti, ki se je noben odjemalec nikoli ne loti.

Ena povratna sprememba in poročilo, ki prestane pregled

Spremenite en sam element, ponovite enako zahtevo in preberite iste števce. Brisanje vseh pravil požarnega zidu ali zamenjava vseh selektorjev naenkrat bo premaknila številko in uničila dokaze, ki so vam povedali zakaj. Če drugi zagon še vedno kaže ničlo, ste izločili eno hipotezo, namesto da bi zapravili popoldne.

Ugotovitev zapišite v obliki, ki jo lahko nekdo drug ponovi: ime podrejene SA, sprejeti razponi, izvor, ki ste ga pripeli, cilj, ki ste ga preizkusili, smer, ki je ostala pri ničli, in SPI, ki ste ga brali. Ta stavek loči asociacijo, ki je ni nihče uporabil, od oddaljene aplikacije, ki je promet prejela in ga zavrnila. Spremembo obrnite, ko ni premaknila števcev, in zapis obdržite; naslednja oseba začne tam, kjer ste vi končali. Ničesar v tunelu ni bilo treba znova zgraditi, in to je smisel preverjanja ujemanja, preden se dotaknete konfiguracije.