Подређена SA IPsec је подигнута, али бројачи пакета остају на нули

Подигли сте тунел, тајмер за обнављање кључева одбројава, а оба смера и даље показују нула пакета. Ништа у том пару бројева не каже да је партнер одбио ваш тунел: инсталирана CHILD SA са неактивним бројачима је нормално стање асоцијације са којом се још ништа није поклопило. Задатак је да докажете да је пакет требало да се поклопи, а затим да нађете тачку у којој је напустио пут који описују селектори. Урадите то једном, по реду, и одржите захтев истим између покретања.

Шта нула бројач заиста доказује

CHILD SA је пар селектора плус кључеви и SPI који шифрују саобраћај који пада у те опсеге. Инсталирати је значи само да су се оба партнера сагласила о тим опсезима и изведеним кључевима; језгро ће је држати сатима без иједног пакета који стигне. Дакле, питање никада није да ли тунел постоји, већ да ли је иједан пакет који је ваш тест послао пао у опсеге о којима су се два партнера договорила. Ако није, бројачи остају на нули и асоцијација истиче неискоришћена на крају свог животног века.

Та разлика мења шта прво прегледате. Одбијен предлог, неуспех аутентификације или IKE SA која умире појављују се у логу или на листи SA, а не као тиха нула. Тунел који се чисто договори, а затим остане неактиван, указује пре на поклапање, рутирање или порекло тест саобраћаја.

Пошаљите ток који умете да опишете пре слања

Изаберите одредиште унутар заштићене подмреже и отворите нову везу ка њему; страница учитана пре сат времена може доћи из кеша, а кеширани одговор никада не дотиче тунел. Затим запишите четири вредности док је захтев још хипотетички: изворну адресу коју ће апликација везати, одредиште, породицу адреса и име или пар селектора подређене SA коју посматрате. Тај запис претвара раван бројач у проверљиву тврдњу.

Изворна адреса је вредност коју људи прескачу, и она најчешће квари тест. Лаптоп са жичаном адресом, Wi-Fi адресом и адресом тунела може везати било коју од њих зависно од претраге руте, а само једна може лежати у договореном опсегу. Користите алат који дозвољава да причврстите извор, на пример ping -I 10.1.0.5 10.2.0.9 или curl --interface 10.1.0.5, да пакет не би тихо изабрао другу адресу. Када причвршћено покретање помери бројаче, а непричвршћено не, нашли сте проблем рутирања, а не проблем IPsec.

Које бројеве читати и где они живе

На Linux-у ip -s xfrm state исписује сваку асоцијацију са линијом lifetime current: чији збир бајтова и збир пакета припадају само тој SA, након чега следи линија stats: са бројевима понављања и грешака. На strongSwan партнеру swanctl --list-sas исписује једну линију in и једну линију out за сваку инсталирану подређену SA, свака се завршава бројем бајтова и бројем пакета; старији stroke алати исти пар називају bytes_i и bytes_o. Читајте оба смера одвојено, јер је онај који је остао раван налаз. Њихово сабирање скрива управо ону асиметрију коју тражите.

Оба приказа су по асоцијацији, па обнављање кључева инсталира нови пар SPI и ваша основна линија се враћа на нулу без ичега поквареног. Запишите SPI који посматрате пре него што тајмер за обнављање кључева реагује, иначе ћете упоредити нову SA са старим бројем. Ако одлазни саобраћај расте док долазни остаје раван, селектор се поклопио, али одговор се никада није вратио, што премешта истрагу на прослеђивање партнера и његову сопствену политику. Документација о конфигурацији IKEv2 strongSwan-а покрива животни циклус подређене SA и време обнављања кључева иза тих бројева.

Тачка посматрања је одвојена променљива од порекла пакета. Хардверско растерећење може повећати бројаче асоцијације док софтверско снимање на интерфејсу не показује ништа, јер растерећени пакети прескачу куку на којој снимање седи, а долазни саобраћај може одступити на исти начин. Када се њих два не слажу, користите бројаче да одговорите да ли се нешто поклопило и снимање да одговорите како је пакет изгледао.

Рута, селектори и где је пакет рођен

Упоредите три ствари једну поред друге: руту коју језгро бира за ваше одредиште, политику која усмерава саобраћај у тунел и пар селектора који је подређена SA договорила. ip route get 10.2.0.9 from 10.1.0.5 именује интерфејс и извор које би језгро користило, што често није пар који сте претпоставили. ip xfrm policy приказује шаблоне и селекторе инсталиране локално, док swanctl --list-sas приказује око чега се партнер сагласио. Претрага која пошаље пакет кроз физички интерфејс уопште не стиже до политике, па бројачи не могу да се помере.

Неслагања долазе у неколико облика који са бројача изгледају идентично. Одредиште IPv6 изван селектора IPv4, изворна адреса из погрешне подмреже и политика ужа од подређене SA дају сви исту нулу. Прво поправите најужи узрок, јер проширење селектора само да бисте померили број мења шта тунел штити.

Затим је ту порекло пакета, замка коју гејтвеј поставља сопственом оператеру. Саобраћај који гејтвеј сам генерише упоређује се са излазном политиком, док се пакет који прослеђује за клијента упоређује са политиком прослеђивања, па ping са кутије може успети на путу којим ниједан клијент никада не иде.

Једна повратна измена и извештај који преживљава преглед

Промените један елемент, поновите исти захтев и прочитајте исте бројаче. Брисање свих правила заштитног зида или замена свих селектора одједном помериће број и уништити доказе који су вам рекли зашто. Ако друго покретање и даље показује нулу, елиминисали сте једну хипотезу уместо да потрошите поподне.

Запишите налаз у облику који неко други може да понови: назив подређене SA, прихваћени опсези, извор који сте причврстили, одредиште које сте тестирали, смер који је остао на нули и SPI који сте читали. Та реченица раздваја асоцијацију коју нико није користио од удаљене апликације која је примила саобраћај и одбила га. Вратите измену када није померила бројаче и сачувајте запис; следећа особа почиње тамо где сте ви стали. Ништа у тунелу није морало да се поново гради, и у томе је смисао провере поклапања пре него што дотакнете конфигурацију.