Одговори DPD доказују да је IKE партнер жив, а не да ваши подаци теку
Одговори о живости, обавештење о попуњавању и сужени селектори описују три различите ствари. Читајте их одвојено пре него што једну окривите за застој.
IPsec дневници могу приказивати одговоре о живости док апликација испред њих стоји, а обе чињенице могу бити истовремено тачне. DPD одговор утврђује да је IKE обрада партнера одговорила у том тренутку; он ништа не говори о томе да ли дете SA носи пакет који вас занима. Третирати свако упозорење близу прекида као његов узрок јесте начин на који се проблем селектора дијагностикује као грешка протокола. Три запажања се најчешће мешају и она одговарају на три различита питања. Читајте их по вези и намени пре него што их читате по временској ознаци.
Шта свако запажање доказује
Табела раздваја шта свако запажање утврђује од онога што само прати.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Ниједно од три није грешка само по себи. Свако постаје занимљиво тек поред тока који отклањате, а ред који се не може везати за конкретан ток је контекст, а не доказ.
Живост није здравље података
DPD ради као INFORMATIONAL размена, разговор контролне равни између IKE демона. Одговор доказује да је IKE процес партнера доступан и вољан да одговори, а истек времена доказује да није. Ниједан резултат не проверава дете SA, селекторе, пут прослеђивања или одговор апликације, па је здрав DPD уз заустављен пренос кожерентна слика, а не противречност.
Зато су линије живости најмање користан део тикета податковне равни, колико год умирујуће изгледале на врху дневника.
Обавештење о попуњавању је изјава о попуњавању
TFC попуњавање је највише пречитан ред у овим дневницима. Оно каже да попуњавање ради поверљивости тока саобраћаја неће бити прихваћено за то дете SA, што је изјава о опционој функцији попуњавања, а не одбијање ESP заштите. Проналажење истог близу квара обично је случајност речитости, а укључивање или искључивање попуњавања не мења ништа у покривености селектора.
Спецификација IKEv2 дефинише и обавештење и преговарање о селекторима, а ознака упозорења неке имплементације ни у једном случају не замењује значење протокола.
Сужавање је тише и вероватније важно
Одговарач може прихватити подскуп понуђених селектора, а прихваћени скуп може бити исписан кроз неколико уноса, један квалификован портом и други који покрива све портове. Читање само првог реда квалификованог портом потцењује оно што је прихваћено; читање само широког реда га прецењује. Упоредите исписани предлог са инсталираном политиком, јер предлог је оно што су партнери рекли, а политика је оно што ће језгро упарити. Када се не слажу, тунел постоји, а саобраћај не, што је класична повремена жалба. Обрните локалну и удаљену перспективу када упоређујете партнере, јер локално сваке стране је удаљено оне друге.
Уноси специфични за домаћина са ограничењима port-а вреде двоструког читања, јер управо они искључују ICMP или други port док ping ка мрежном пролазу остаје функционалан.
Направите један запис за ток који не успева
Запишите извор, одредиште, породицу адреса, протокол и port како се виде при одлуци о заштити, укључујући свако намерно превођење. То су вредности које морају одговарати селектору, а то су и вредности које људи преписују по сећању када тикет дође до трећег пара руку.
Затим идентификујте дете SA и његове смерне бројаче: swanctl --list-sas даје сажетак асоцијације на strongSwan домаћину, а ip -s xfrm state даје бројаче. Читајте их после свежег дозвољеног захтева, а не док систем мирује. Изостанак раста одлазног саобраћаја указује на селекцију или локални пут; одлазни без одговарајућег долазног указује на партнера, његово прослеђивање или његове одговоре.
Завршена размена апликације надјачава било који бројач, зато тест треба завршити на апликацији, а не на индикатору тунела.
Изаберите исправку након тога
Тек након што тај запис постоји, постоји исправка коју треба изабрати: прихваћени селектори, рута, филтрирање, имплементација партнера или граница коју сте сада доказали. Ресетовање партнера мења неколико стања одједном и често враћа саобраћај без објашњења које је било погрешно, па се прекид враћа. Држите исписе стања језгра изван тикета, јер могу садржати кључеве, а кратак сажетак је довољан свакоме коме треба помоћ.
Када се запис противи вашој првој теорији, верујте запису и препишите теорију; та навика вреди више од било које појединачне линије дневника о којој се овде говори.