SA ya mtoto ya IPsec imeinuka, lakini vihesabu vya pakiti vinabaki sifuri

Uliinua handaki, kipima muda cha kubadilisha funguo kinapungua, na pande zote mbili bado zinasoma sifuri pakiti. Hakuna katika jozi hiyo ya nambari kunakosema kwamba mwenzako alikataa handaki yako: CHILD SA iliyosakinishwa ikiwa na vihesabu tuli ni hali ya kawaida ya muungano ambao hakuna kitu kilicholingana nao bado. Kazi ni kuthibitisha kwamba pakiti ilipaswa kulingana, kisha kupata mahali ilipoondoka kwenye njia inayoelezwa na vichaguzi. Fanya mara moja, kwa mpangilio, na uweke ombi sawa kati ya vipindi vya kuendesha.

Kipimo cha sifuri kinathibitisha nini kwa kweli

CHILD SA ni jozi ya vichaguzi pamoja na funguo na SPI zinazosimba trafiki inayoingia ndani ya safu hizo. Kuisakinisha kunamaanisha tu kwamba pande zote mbili zilikubaliana kuhusu safu hizo na funguo zilizotolewa; kerneli itaiweka kwa masaa bila pakiti hata moja kufika. Kwa hiyo swali kamwe si kama handaki ipo, bali kama pakiti yoyote iliyotumwa na jaribio lako ilianguka ndani ya safu zilizojadiliwa na pande hizo mbili. Ikiwa hakuna iliyoanguka, vihesabu vinabaki sifuri na muungano unaisha bila kutumika mwishoni wa maisha yake.

Tofauti hiyo inabadilisha unachokagua kwanza. Pendekezo lililokataliwa, kushindwa kwa uthibitishaji au IKE SA inayokufa vyote huonekana katika kumbukumbu au kwenye orodha ya SA, si kama sifuri ya kimya. Handaki inayojadiliana safi kisha kubaki tuli inaelekeza badala yake kwenye ulinganishaji, uelekezaji au asili ya trafiki ya jaribio.

Tuma mtiririko unaoweza kuueleza kabla ya kuutuma

Chagua marudio ndani ya subnet iliyolindwa na ufungue muunganisho mpya kwenda humo; ukurasa ulioufungua saa moja iliyopita unaweza kutolewa kutoka kwenye akiba, na jibu lililohifadhiwa haliwezi kamwe kugusa handaki. Kisha andika thamani nne wakati ombi bado ni dhahania: anwani ya chanzo ambayo programu itaifunga, marudio, familia ya anwani na jina au jozi ya vichaguzi vya mtoto unaomfuatilia. Rekodi hiyo ndiyo inayobadilisha kipimo bapa kuwa dai linaloweza kujaribiwa.

Anwani ya chanzo ni thamani ambayo watu huiruka, na ndiyo inayovunja jaribio mara nyingi zaidi. Kompyuta ya mkononi iliyo na anwani ya waya, anwani ya Wi-Fi na anwani ya handaki inaweza kufunga yoyote kati yao kulingana na utafutaji wa njia, na moja tu inaweza kuwa ndani ya safu iliyojadiliwa. Tumia chombo kinachokuwezesha kubandika chanzo, kama ping -I 10.1.0.5 10.2.0.9 au curl --interface 10.1.0.5, ili pakiti isiweze kuchagua anwani nyingine kwa kimya. Wakati kipindi kilichobandikwa kinasogeza vihesabu na kile kisichobandikwa hakisogezi, umegundua tatizo la uelekezaji na si tatizo la IPsec.

Nambari zipi za kusoma, na zinaishi wapi

Kwenye Linux, ip -s xfrm state huchapisha kila muungano na mstari wa lifetime current: ambao jumla ya baiti na jumla ya pakiti ni za SA hiyo pekee, ikifuatiwa na mstari wa stats: kwa hesabu za marudio na makosa. Kwa mwenza wa strongSwan, swanctl --list-sas huchapisha mstari mmoja wa in na mstari mmoja wa out kwa kila mtoto aliyesakinishwa, kila mmoja huishia kwa hesabu ya baiti na hesabu ya pakiti; zana za zamani za stroke huita jozi hiyo hiyo bytes_i na bytes_o. Soma pande mbili kwa mbali, kwa sababu ile iliyobaki bapa ndiyo ugunduzi. Kuziongeza pamoja kunaficha upana usio na usawa unaoutafuta.

Maoni yote mawili ni kwa kila muungano, kwa hiyo ubadilishaji funguo husakinisha jozi mpya ya SPI na mstari wako wa msingi unarudi sifuri bila kitu kuvunjika. Andika SPI unayoiangalia kabla kipima muda cha kubadilisha funguo kifanye kazi, la sivyo utalinganisha SA mpya na nambari ya zamani. Ikiwa kutoka kunapanda wakati kuingia kunabaki bapa, kichaguzi kililingana lakini jibu halikurudi kamwe, jambo linalohamishia uchunguzi kwenye usambazaji wa mwenza na sera yake mwenyewe. Nyaraka za usanidi wa IKEv2 za strongSwan zinashughulikia mzunguko wa maisha wa SA ya mtoto na muda wa kubadilisha funguo nyuma ya takwimu hizo.

Mahali pa uchunguzi ni kigezo tofauti na asili ya pakiti. Upakuaji wa vifaa unaweza kuongeza vihesabu vya muungano wakati upigaji picha wa programu kwenye kiolesura hauonyeshi kitu, kwa sababu pakiti zilizopakuliwa huruka ndoano ambayo upigaji picha umekaa, na kuingia kunaweza kupotoka vivyo hivyo. Wakati vyote viwili hazikubaliani, tumia vihesabu kujibu kama kitu kililingana na upigaji picha kujibu jinsi pakiti ilivyoonekana.

Njia, vichaguzi na mahali pakiti ilizaliwa

Linganisha mambo matatu kando kando: njia ambayo kerneli huchagua kwa marudio yako, sera inayoelekeza trafiki kwenye handaki, na jozi ya vichaguzi iliyojadiliwa na mtoto. ip route get 10.2.0.9 from 10.1.0.5 hutaja kiolesura na chanzo ambacho kerneli ingetumia, ambacho mara nyingi si jozi uliyodhania. ip xfrm policy huonyesha violezo na vichaguzi vilivyosakinishwa ndani, wakati swanctl --list-sas huonyesha kile mwenza alikubaliana. Utafutaji unaotuma pakiti nje kupitia kiolesura halisi haufiki kwenye sera hata kidogo, kwa hiyo vihesabu haviwezi kusogea.

Kutolingana huja kwa namna kadhaa zinazoonekana sawa kutoka kwa kipimo. Marudio ya IPv6 nje ya kichaguzi cha IPv4, anwani ya chanzo kutoka subnet isiyo sahihi, na sera nyembamba kuliko mtoto zote hutoa sifuri ile ile. Rekebisha sababu nyembamba zaidi kwanza, kwa sababu kupanua kichaguzi tu ili kusogeza nambari kunabadilisha kile handaki inalinda.

Kisha kuna asili ya pakiti, mtego ambao lango huweka kwa mendeshaji wake mwenyewe. Trafiki ambayo lango huzalisha yenyewe hulinganishwa na sera ya kutoka, wakati pakiti inayoisambaza kwa mteja hulinganishwa na sera ya usambazaji, kwa hiyo ping kutoka kwenye sanduku inaweza kufanikiwa kwenye njia ambayo hakuna mteja anayeipitia kamwe.

Mabadiliko moja yanayoweza kurudishwa na ripoti inayostahimili ukaguzi

Badilisha kipengele kimoja, rudia ombi lile lile na usome vihesabu vile vile. Kusafisha kila kanuni ya firewall au kubadilisha vichaguzi vyote kwa mara moja kutasogeza nambari na kuharibu ushahidi uliokuambia kwa nini. Ikiwa kipindi cha pili bado kinaonyesha sifuri, umeondoa dhana moja badala ya kupoteza mchana.

Andika ugunduzi kwa namna ambayo mtu mwingine anaweza kuiga: jina la mtoto, safu zilizokubaliwa, chanzo ulichobandika, marudio uliyojaribu, upande uliobaki sifuri, na SPI uliyokuwa ukisoma. Sentensi hiyo hutenganisha muungano ambao hakuna mtu aliutumia na programu ya mbali iliyopokea trafiki na kuikataa. Rudisha mabadiliko wakati hayakusogeza vihesabu, na uweke rekodi; mtu anayefuata anaanza pale ulipoacha. Hakuna kitu ndani ya handaki kilichohitaji kujengwa upya kwa yote haya, na hiyo ndiyo maana ya kukagua ulinganishaji kabla ya kugusa usanidi.