IKEv2 откривање мртвог партнера не тестира вашу апликацију

Провера живости IKEv2 поставља једно питање: да ли други партнер још увек одговара на заштићеном контролном односу. Она не мери да ли је унутрашња апликација здрава, да ли иза гејтвеја постоји рута, или да ли прегледање делује брзо. Провера може проћи док све корисно иза тунела не успе.

Прочитајте две врсте доказа одвојено пре него што промените тајмер.

Шта провера живости заправо пита

Размена живости се шаље унутар успостављене IKE безбедносне асоцијације и очекује одговор у конфигурисаном прозору. Успех значи да је IKE имплементација партнера још увек ту и још увек спремна за разговор. Она не говори ништа о подређеним безбедносним асоцијацијама које носе саобраћај, ништа о рутирању иза гејтвеја и ништа о услузи због које сте отворили тунел. То су три одвојена питања са три одвојена начина отказа.

Та разлика одређује где ћете погледати када сесија утихне. Партнер који наставља да одговара док је путања података покварена указује на политику, рутирање или услугу испод. Партнер који престаје да одговара указује на достижност или на сопствено стање даљег краја.

Прочитајте безбедносне асоцијације пре прегледача

Контролно стање и стање података се наводе одвојено када питате демон, а бројачи говоре да ли је уопште нешто покушано. Подређена асоцијација која никада није инсталирана изгледа сасвим другачије од оне која је инсталирана и затим престала да пропушта пакете, иако обе производе исту корисничку жалбу.

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

Запишите имена стања дословно у тикету, заједно са бројачима у тренутку жалбе. Опис као тунел пао скрива која је од две асоцијације завршена, и то је обично једина чињеница коју вреди имати.

Отказ руте изгледа тачно као мртав партнер

Гејтвеј може одговарати на контролне размене док је приватни сервер офлајн, прослеђена рута недостаје или унутрашње разрешавање имена потпуно отказује. Из перспективе клијента, сваки од њих изгледа као сесија која је активна и одредиште које није. Проверите повратну путању једнако пажљиво као путању напред, јер асиметрично рутирање на даљој страни ствара тишину само у једном смеру.

Тестирајте намењену апликацију директно и наведите адресу коју је покушала, уместо да тестирате да ли је тунел активан. Пинг до гејтвеја доказује да гејтвеј одговара; никада није доказао да је апликација одговорила. Запишите тачну адресу коју је апликација покушала. Тај низ касније сужава претрагу, и то је једина чињеница коју тикет обично изоставља.

Држите тајмере изван дијагнозе

Скраћење интервала откривања није промена перформанси и не додаје капацитет. При губитку пакета мења колико брзо се отказ препознаје, што може учинити да симптом изгледа другачије без ичега бољег. Прво запишите стварно време отказа, затим одлучите да ли је толеранција погрешна за везу коју заиста имате.

Освежавања NAT мапирања припадају истој категорији. Она одржавају преведену путању употребљивом и нису доказ да далека апликација ради.

Потпуна политика опоравка каже шта клијент треба да ради када се партнер прогласи мртвим: поново покренути, затворити или задржати, и шта сме други саобраћај да ради док се то дешава. Без тога, исти инцидент се дијагностикује изнова сваког тромесечја.