SA fëmijë e IPsec është ngritur, por numëruesit e paketave mbeten zero

E ngrite tunelin, kohëmatësi i rikthimit të çelësave po numëron mbrapsht, dhe të dy drejtimet vazhdojnë të lexojnë zero paketa. Asgjë në atë çift numrash nuk thotë se partneri e refuzoi tunelin tënd: një CHILD SA i instaluar me numërues boshe është gjendja normale e një asociacioni me të cilin asgjë nuk është përputhur ende. Puna është të provosh se një paketë duhej të ishte përputhur, pastaj të gjesh pikën ku ajo la rrugën që përshkruajnë përzgjedhësit. Bëje një herë, me radhë, dhe mbaje kërkesën identike midis ekzekutimeve.

Çfarë provon në të vërtetë një numërues zero

Një CHILD SA është një çift përzgjedhësish plus çelësat dhe SPI që kriptojnë trafikun që bie brenda atyre intervaleve. Instalimi i tij do të thotë vetëm se të dy partnerët u dakordësuan për ato intervale dhe çelësat e nxjerrë; kernel-i do ta mbajë për orë të tëra pa mbërritur as edhe një paketë. Pra pyetja nuk është kurrë nëse tuneli ekziston, por nëse ndonjë paketë e dërguar nga testi yt ra brenda intervaleve që negocuan dy partnerët. Nëse asnjë nuk ra, numëruesit mbeten zero dhe asociacioni skadon i papërdorur në fund të jetëgjatësisë së tij.

Ky dallim ndryshon atë që inspekton fillimisht. Një propozim i refuzuar, një dështim autentikimi ose një IKE SA që po vdes shfaqen të gjitha në log ose në listën e SA, jo si një zero e heshtur. Një tunel që negocion pastër dhe pastaj mbetet boshe tregon përkundrazi përputhjen, rrugëtimin ose origjinën e trafikut të testit.

Dërgo një rrjedhë që mund ta përshkruash para se ta dërgosh

Zgjidh një destinacion brenda nënrrjetit të mbrojtur dhe hap një lidhje të re drejt tij; një faqe e ngarkuar një orë më parë mund të vijë nga cache-i, dhe një përgjigje e ruajtur nuk e prek kurrë tunelin. Pastaj shkruaj katër vlera ndërsa kërkesa është ende hipotetike: adresa burimore që aplikacioni do të lidhë, destinacioni, familja e adresave dhe emri ose çifti i përzgjedhësve të fëmijës që po vëzhgon. Ai regjistrim është ai që e kthen një numërues të sheshtë në një pohim të testueshëm.

Adresa burimore është vlera që njerëzit e kapërcejnë, dhe është ajo që e prish testin më shpesh. Një laptop me adresë me tel, adresë Wi-Fi dhe adresë tuneli mund të lidhë cilëndo prej tyre në varësi të kërkimit të rrugës, dhe vetëm njëra mund të qëndrojë brenda intervalit të negociuar. Përdor një mjet që të lejon të fiksosh burimin, si ping -I 10.1.0.5 10.2.0.9 ose curl --interface 10.1.0.5, që paketa të mos zgjedhë në heshtje një adresë tjetër. Kur ekzekutimi i fiksuar i lëviz numëruesit dhe ai i pafiksuar nuk i lëviz, ke gjetur një problem rrugëtimi dhe jo një problem IPsec.

Cilët numra të lexosh, dhe ku banojnë ata

Në Linux, ip -s xfrm state shtyp çdo asociacion me një rresht lifetime current:, totali i bajteve dhe i paketave të të cilit i përkasin vetëm atij SA, i ndjekur nga një rresht stats: për numërimet e përsëritjes dhe të gabimeve. Në një partner strongSwan, swanctl --list-sas shtyp një rresht in dhe një rresht out për çdo fëmijë të instaluar, secili përfundon me një numërim bajtesh dhe një numërim paketash; mjetet më të vjetra stroke e quajnë të njëjtin çift bytes_i dhe bytes_o. Lexo dy drejtimet veçmas, sepse ai që mbeti i sheshtë është zbulimi. Mbledhja e tyre së bashku fsheh pikërisht asimetrinë që po kërkon.

Të dy pamjet janë për asociacion, kështu që një rikthim çelësash instalon një çift të ri SPI dhe vija bazë kthehet në zero pa u thyer asgjë. Shkruaj SPI-n që po vëzhgon para se të nisë kohëmatësi i rikthimit, përndryshe do të krahasosh një SA të re me një numër të vjetër. Nëse dalja rritet ndërsa hyrja mbetet e sheshtë, përzgjedhësi u përputh dhe përgjigja nuk u kthye kurrë, gjë që e zhvendos hetimin te përcjellja e partnerit dhe politika e tij. Dokumentacioni i konfigurimit të IKEv2 i strongSwan mbulon ciklin e jetës së SA fëmijë dhe kohën e rikthimit pas këtyre shifrave.

Pika e vëzhgimit është një variabël e veçantë nga origjina e paketës. Një shkarkim harduerik mund të rrisë numëruesit e asociacionit ndërsa një kapje softuerike në ndërfaqe nuk tregon asgjë, sepse paketat e shkarkuara kalojnë grepin ku rri kapja, dhe hyrja mund të devijojë në të njëjtën mënyrë. Kur të dy nuk bien dakord, përdor numëruesit për t'u përgjigjur nëse diçka u përputh dhe kapjen për t'u përgjigjur si dukej paketa.

Rruga, përzgjedhësit dhe ku lindi paketa

Krahaso tre gjëra krah për krah: rrugën që kernel-i zgjedh për destinacionin tënd, politikën që e drejton trafikun në tunel, dhe çiftin e përzgjedhësve që negocioi fëmija. ip route get 10.2.0.9 from 10.1.0.5 emërton ndërfaqen dhe burimin që kernel-i do të përdorte, që shpesh nuk është çifti që supozove. ip xfrm policy tregon shabllonët dhe përzgjedhësit e instaluar lokalisht, ndërsa swanctl --list-sas tregon se për çfarë u dakordësua partneri. Një kërkim që e nxjerr paketën nga ndërfaqja fizike nuk arrin kurrë te politika, kështu që numëruesit nuk mund të lëvizin.

Mospërputhjet vijnë në disa forma që duken identike nga një numërues. Një destinacion IPv6 jashtë një përzgjedhësi IPv4, një adresë burimore nga nënrrjeti i gabuar dhe një politikë më e ngushtë se fëmija prodhojnë të gjitha të njëjtën zero. Rregullo fillimisht shkakun më të ngushtë, sepse zgjerimi i një përzgjedhësi vetëm për të zhvendosur një numër ndryshon atë që mbron tuneli.

Pastaj është origjina e paketës, kurthi që një gateway i vë operatorit të vet. Trafiku që gateway-i gjeneron vetë krahasohet me politikën e daljes, ndërsa një paketë që ai e përcjell për një klient krahasohet me politikën e përcjelljes, kështu që një ping nga kutia mund të ketë sukses në një rrugë që asnjë klient nuk e merr kurrë.

Një ndryshim i kthyeshëm dhe një raport që i reziston rishikimit

Ndrysho një element të vetëm, përsërit kërkesën identike dhe lexo të njëjtët numërues. Pastrimi i të gjitha rregullave të firewall-it ose zëvendësimi i të gjithë përzgjedhësve përnjëherë do të lëvizë një numër dhe do të shkatërrojë provat që të thoshin pse. Nëse ekzekutimi i dytë vazhdon të tregojë zero, ke eliminuar një hipotezë në vend që të humbësh pasditen.

Shkruaje zbulimin në një formë që dikush tjetër mund ta riprodhojë: emri i fëmijës, intervalet e pranuara, burimi që fiksove, destinacioni që testove, drejtimi që mbeti zero dhe SPI-ja që lexoje. Ajo fjali ndan një asociacion që askush nuk e përdori nga një aplikacion i largët që e mori trafikun dhe e refuzoi. Ktheje ndryshimin kur nuk i lëvizi numëruesit dhe mbaje regjistrin; personi tjetër nis aty ku ti ndalove. Asgjë në tunel nuk u desh të rindërtohej për asnjë nga këto, dhe ky është qëllimi i kontrollit të përputhjes para se të prekësh konfigurimin.