Weydinta xogta macluumaadka ayaa ku hakata IPsec: dib u habeyn UDP mise TCP?
Weydin ku hakata ka dib handshake nadiif ah waxay tilmaamaysaa gudaha marinka tunnel-ka. Saddex shuruud ah ayaa go'aamisa in marinka la hagaajiyo ama TCP 443 loo noqdo.
Weydin ku hakata ka dib handshake TCP maaha mushkilad habaynta waddooyinka. Khaladaadka waddada ayaa handshake-ka fashilma, sidaas darteed fadhi dhigma oo markaas aamusa wuxuu tilmaamayaa gudaha marinka: baaritaan, MTU, ama sida baakadaha UDP ee tunnel-ku u yimaadaan. Go'aanka hortaada yaalla waa in marinkaas la hagaajiyo ama tunnel-ka loo raro TCP. Saddex shuruud ah ayaa taas go'aamisa, midkoodna kama hadlayo xogta macluumaadka.
Kala sooc hakashada ka hor intaadan tunnel-ka eedayn
Afar natiijo ayaa isku mid ugu muuqda isticmaalaha waxayna macne kale leeyihiin injineerka.
| What the client sees | What it rules out |
|---|---|
| Connection refused | Nothing is listening on the address and port the client reached |
| Timeout before the handshake | A filter, a missing route, or the wrong address |
| Handshake completes, query hangs | The session exists, so look at inspection, MTU and packet order |
| Stalls that recover on retry | Often reordering, or a state table entry expiring |
Kaliya labada saf ee ugu dambeeya ayaa qiil u ah waqti lagu bixiyo tunnel-ka. Xiriir la diiday VPN dhexdiisa badanaa waa xogta macluumaadka oo kaliya loopback ku dhagaysanaya, taas oo ah mushkilad dhageyste, iyo waqti-dhaaf ka hor handshake-ka waa shaandheyn ama waddo. Midkoodna kama fiicna beddelka xidhitaanka.
Marka hore kala soocidda ku qor tiketka. Waa tallaabada ugu jaban waxayna meesha ka saaraysaa inta badan goobta raadinta.
Saddex shuruud ah oo go'aamisa UDP iyo TCP
Taraafikada IPsec ee xidhan waxay ku socotaa UDP, UDP-na waxay marinka siisaa xorriyad uu dib u habeyn karo oo tuuri karo isagoo aan cidna u sheegin. Marka dib u habeyntu baakadaha ka riixdo daaqadda ka-hortagga-celinta tunnel-ka, si aamusan ayaa loo tuuraa fadhiga TCP ee gudaha na kaliya wuu sugayaa. Taasi waa habka ka dambeeya handshake guuleysta iyo weydin aan waligeed soo noqon.
Hagaajinta marinka ama ku noqoshada TCP waxay ku xiran tahay saddex arrimood. Kowaad, ma jiraa lumis baakad dhab ah oo marinka ah, mise dib u habeyn kaliya? Labaad, ma beddeli kartaa halka baaritaanku dhaco, ama ma ka reebi kartaa tunnel-kan qaybta dib u habeynta? Saddexaad, ma culeyska ayaa xasaasi u ah qaabka hakashada, tusaale ahaan fadhiyo badan oo multiplex ah oo wadaaga hal xiriir?
Haddii jawaabta koowaad ay tahay lumis, tan labaadna maya,TCP 443 waa beddelka wax ku oolka ah. Haddii jawaabta labaad ay tahay haa, hagaaji marinka oo hayso UDP.
Akhri diiwaanka firewall-ka, ma aha khaladka barnaamijka
Barnaamijku wuxuu soo sheegaa waqti-dhaaf, taas oo wax ka sheegayn sababta. Diiwaanka firewall-ka laftiisu waa meesha tuurista ama xannibaadda ka muuqato, sidaas darteed ku shaandhee cinwaannada xogta macluumaadka iyo barnaamijka oo raadi tuuris iyo aqbalid labadaba.Qaybaha ka-hortagga khatarta waxay tuuri karaan baakadaha iyagoo aan abuurin khalad heer barnaamij, waana taas qaabka saxda ah ee weydin hakata. Aamusnaanta diiwaanka sidoo kale waa xog: waxay tilmaamaysaa shay aan diiwaan gelin, sida dib u habeyn.
Sidoo kale hubi cluster-ka. Cluster si khaldan loo habbeeyay ayaa fadhi ku hayn kara shaxda xaaladda xubin ka mid ah inta baakaduhu maraan marinka xubin kale, sidaas darteed jawaabahu waxay gaaraan meel aan xaalad ku jirin. Hakashada noocaas ah waxay u muuqataa mid aan kala sooc lahayn oo lama xiriirto culeyska.
Isbarbar dhig labada daraf ka hor intaadan wax beddelin, oo isbarbar dhig nidaamka imaatinka halkii tirada baakadaha:
tcpdump -ni any udp port 4500 -w /tmp/encap.pcap
tcpdump -ni any tcp port 5432 -w /tmp/inner.pcapWaxa TCP 443 uu run ahaantii kaa qaato
U raridda tunnel-ka TCP waxay meesha ka saaraysaa calaamadda dib u habeynta, maxaa yeelay sanduuqa dhexe wuxuu hadda arkaa qulqul nidaamsan. Waxay sidoo kale abuurtaa TCP-over-TCP. Xiriirka dibadda wuxuu dib u diraa waxa xiriirka gudaha horay u dib u diray, hal lumisna wuxuu hal mar joojin karaa dhammaan fadhiyada multiplex. Waddo nadiif ah tan lama arko. Waddo lumis leh daawadu way ka xun tahay calaamadda.
Isweydaarsiga waa la aqbali karaa marka beddelku yahay xiriir la'aan buuxda, waana in loo diiwaangeliyaa sida ka-reexan leh milkiile halkii loo qaadan lahaa sida caadi ah.
Diiwaangeli gaadiidka, dekedda, weydin tusaale ah iyo natiijada la qiyaasay, iyo sidoo kale taariikhda. Diiwaankaas la'aan injineerka xiga wuu ku celinayaa tijaabada, ka-reexankuna si aamusan ayuu u noqdaa dhismaha.
Hayso go'aanka mid dib loo eegi karo
Cilad-baadhista marinku si dhakhso ah ayey u duqoobaa. Sanduuqa dhexe waa la beddelaa, habaynta qaybta way is beddelaa, xiriirka waa la cusboonaysiiyaa, sababta TCP 443-na way lunto inta habayntu sii jirto. Ku dheh taariikh dib-u-eegis ka-reexanka oo magacow shuruudda kuu oggolaanaysa inaad UDP ku noqoto.
Ku tijaabi labada gaadiid weydin yar iyo iyo ururin natiijooyin waaweyn. Dib u habeyntu waxay u muuqataa hakasho ku xiran cabbirka, halka cillad dhageystuhu si isku mid ah u joojiso labada cabbir.