Përgjigjet DPD vërtetojnë se partneri IKE është i gjallë, jo se të dhënat tuaja rrjedhin
Përgjigjet e gjallërisë, një njoftim mbushjeje dhe përzgjedhës të ngushtuar përshkruajnë tre gjëra të ndryshme. Lexojini veçmas përpara se të fajësoni njërin prej tyre për një ndalim.
Regjistrat IPsec mund të shfaqin përgjigje gjallërie ndërsa aplikacioni përballë tyre është i bllokuar, dhe të dyja faktet mund të jenë të vërteta njëkohësisht. Një përgjigje DPD vërteton se përpunimi IKE i partnerit u përgjigj në atë moment; nuk thotë asgjë nëse SA fëmijë mbart paketën që ju intereson. Trajtimi i çdo paralajmërimi pranë një defekti si shkaku i tij është mënyra se si një problem përzgjedhësi diagnostikohet si gabim protokolli. Tre vëzhgime ngatërrohen më shpesh, dhe ato u përgjigjen tre pyetjeve të ndryshme. Lexojini sipas lidhjes dhe qëllimit përpara se t'i lexoni sipas vulës kohore.
Çfarë vërteton secili vëzhgim
Tabela ndan atë që secili vëzhgim përcakton nga ajo që thjesht e shoqëron.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Asnjëri nga të tre nuk është gabim në vetvete. Secili bëhet interesant vetëm pranë rrjedhës që po korrigjoni, dhe një rresht që nuk mund të lidhet me një rrjedhë të caktuar është kontekst, jo provë.
Gjallëria nuk është shëndeti i të dhënave
DPD funksionon si një shkëmbim INFORMATIONAL, një bisedë e rrafshit të kontrollit midis demonëve IKE. Një përgjigje vërteton se procesi IKE i partnerit është i arritshëm dhe i gatshëm të përgjigjet, dhe një skadim kohe vërteton se nuk është. Asnjëri rezultat nuk teston SA fëmijë, përzgjedhësit, rrugën e përcjelljes ose përgjigjen e aplikacionit, kështu që një DPD i shëndoshë pranë një transferimi të ndalur është një pamje koherente, jo një kundërshti.
Prandaj rreshtat e gjallërisë janë pjesa më pak e dobishme e një bilete të rrafshit të të dhënave, sado qetësuese të duken në krye të regjistrit.
Njoftimi i mbushjes është një deklarim për mbushjen
Mbushja TFC është rreshti më i mbilexuar në këto regjistra. Ai thotë se mbushja për konfidencialitetin e rrjedhës së trafikut nuk do të pranohet për atë SA fëmijë, gjë që është një deklarim për një veçori opsionale mbushjeje dhe jo një refuzim i mbrojtjes ESP. Gjetja e tij pranë një dështimi është zakonisht një rastësi e fjalëshumësisë, dhe ndezja ose shuarja e mbushjes nuk ndryshon asgjë në mbulimin e përzgjedhësve.
Specifikimi IKEv2 përcakton si njoftimin ashtu edhe negociimin e përzgjedhësve, dhe etiketa e paralajmërimit e një implementimi nuk zëvendëson kuptimin e protokollit në asnjërin prej të dy rasteve.
Ngushtimi është më i qetë dhe më i mundshëm të jetë i rëndësishëm
Një përgjigjës mund të pranojë një nëngrup të përzgjedhësve të ofruar, dhe grupi i pranuar mund të shtypet në disa zëra, një i kualifikuar sipas portit dhe tjetri që mbulon të gjitha portet. Leximi vetëm i rreshtit të parë të kualifikuar sipas portit nënvlerëson atë që u pranua; leximi vetëm i rreshtit të gjerë e mbivlerëson atë. Krahasoni propozimin e shtypur me politikën e instaluar, sepse propozimi është ajo që thanë partnerët dhe politika është ajo që kerneli do të përputhë. Kur nuk përputhen, tuneli ekziston dhe trafiku jo, që është ankesa klasike e ndërprerë. Kthejeni perspektivën lokale dhe të largët kur krahasoni partnerët, sepse lokali i secilës anë është i largëti i tjetrës.
Zërat specifikë për strehuesin me një kufizim porti meritojnë lexim të dyfishtë, sepse janë ata që përjashtojnë ICMP ose një port të dytë duke lënë një ping drejt portës të funksionojë.
Ndërtoni një regjistrim për rrjedhën që dështon
Regjistroni burimin, destinacionin, familjen e adresave, protokollin dhe portin siç duken në vendimin e mbrojtjes, duke përfshirë çdo përkthim të qëllimshëm. Këto janë vlerat që duhet të përputhen me një përzgjedhës, dhe këto janë gjithashtu vlerat që njerëzit i rishkruajnë nga kujtesa kur bileta arrin te një çift i tretë duarsh.
Pastaj identifikoni SA fëmijë dhe numëruesit e tij drejtues: swanctl --list-sas jep përmbledhjen e asociacionit në një strehues strongSwan, dhe ip -s xfrm state jep numëruesit. Lexojini pas një kërkese të sapo lejuar dhe jo ndërsa sistemi është i papunë. Asnjë rritje e daljes nuk tregon zgjedhjen ose rrugën lokale; dalja pa një hyrje përkatëse tregon partnerin, përcjelljen e tij ose përgjigjet e tij.
Një shkëmbim aplikacioni i përfunduar rëndon më shumë se çdo numërues, prandaj testi duhet të përfundojë te aplikacioni dhe jo te treguesi i tunelit.
Zgjidhni korrigjimin më pas
Vetëm kur ekziston ai regjistrim ka një korrigjim për të zgjedhur: përzgjedhës të pranuar, rrugë, filtrime, implementim i partnerit ose një kufi që sapo keni demonstruar. Rikthimi i partnerit ndryshon disa gjendje njëherësh dhe shpesh rikthen trafikun pa shpjeguar cila ishte e gabuar, kështu që defekti kthehet. Mbani shkarkimet e gjendjes së kernelit jashtë biletave, sepse mund të përmbajnë çelësa dhe përmbledhja e ngushtë mjafton për këdo që duhet të ndihmojë.
Kur regjistrimi kundërshton teorinë tuaj të parë, besoni regjistrimin dhe rishkruani teorinë; ajo zakon vlen më shumë se çdo rresht i vetëm regjistri i diskutuar këtu.