Разликовање фрагментације IKEv2 од проблема са ланцем сертификата

Тунел је радио на канцеларијској мрежи и застаје код куће, а дневник показује да се прва размена завршава пре него што се било шта друго догоди. Овај образац указује на размену аутентификације, а не на акредитиве: ланац сертификата чини ту поруку много већом од претходне, а путања која не воли велике датаграме тихо ће је одбацити. Укључена су два различита механизма фрагментације, а знање на који гледате одређује поправку.

Два механизма фрагментације, један симптом

IKEv2 има сопствено проширење фрагментације, дефинисано у RFC 7383, које заштићене IKE поруке дели на мање IKE поруке. Стране преговарају о тој могућности, а поруку поново саставља имплементација IKE-а, а не IP слој.

Обична IP фрагментација је други механизам са другачијим режимом отказа. Рутер између страна фрагментира велику датаграму или је одбацује и враћа ICMP поруку која можда никада не стигне до пошиљаоца. Неке мреже тихо одбацују фрагменте, а неки посредни уређаји обрађују први фрагмент, али не остале. Из перспективе апликације сва три случаја изгледају исто.

Пролаз кроз NAT додаје трећу променљиву, јер се ESP тада умотава у UDP и спољни пакет постаје већи, док изгледа као обичан UDP саобраћај на порту 4500. Путања која добро пропушта UDP ипак може да закаже на датаграми која више не стаје.

Прочитајте размену која није успела

Тражите прелаз, а не грешку. Дневник који показује да је прва размена послата и да је добила одговор, а затим ништа, говори вам да следећа порука никада није завршена. Привремено подигните ниво дневника и упоредите пријављене величине на обе стране.

Оно што желите да утврдите јесте да ли је одговорни уопште видео захтев. Ако је иницијатор нешто послао, а одговорни нема никакав запис о томе, проблем је у достави. Ако је одговорни анализирао захтев и одбио га, проблем је у самом сертификату, а фрагментација одвлачи пажњу. Та разлика вреди више од странице порука о истеку времена.

Промените путању, не сертификат

Тестирајте истог клијента, исти сертификат и исту конфигурацију из друге мреже. Мобилни хотспот је обично најјефтинија друга путања, и он се заиста разликује од канцеларијске везе, а не само номинално.

Ако се руковање заврши на другој путањи, ланац сертификата је у реду и прва путања је променљива. Ако подједнако закаже на обе, престаните да тестирате мреже и погледајте саме поруке. То једно поређење уклања око половине могућих објашњења.

Измерите размену пре него што било шта уредите

Добијте величину ланца и величину путање. Оба броја ограничавају шта руковање може да пошаље, и оба су јефтина за мерење:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

Прва два дају број сертификата и величину датотеке, што је разуман показатељ колико ће порука аутентификације бити велика. ping провера извештава да ли датаграма те величине преживљава на путањи, а бројачи интерфејса показују да ли су фрагменти одбачени на вашој страни. На Windows-у еквивалентна провера је ping са заставицом do-not-fragment и експлицитном величином корисног терета.

Понављајте проверу надоле док не успе. Највећа величина која прође је радни буџет за ту путању и кориснија је од било које објављене подразумеване вредности.

Поправите слој који је заиста покварен

Ако путања одбацује велике датаграме, омогућите IKE фрагментацију на обе стране и потврдите да је проширење преговарано, а не само понуђено. Ако путања лоше поступа са фрагментима на IP нивоу, поправка припада тамо или MTU-у спољног интерфејса, а не складишту сертификата.

Ако је ланац непотребно дуг, скратите га на посредничке сертификате који су страни заиста потребни. Уклањање корена ком клијент већ верује разумно је одржавање; уклањање посредничког није, а искључивање провере да би се порука смањила мења проблем доставе за безбедносни проблем.

Запишите који сте механизам променили и како је руковање изгледало после тога. Следећа појава је обично на другој мрежи са истим симптомом, а белешка је оно што два сата претвара у десет минута.