Kutofautisha ugawaji wa IKEv2 na tatizo la mnyororo wa vyeti

Tuneli ilifanya kazi kwenye mtandao wa ofisi na inakwama nyumbani, na kumbukumbu inaonyesha kubadilishana kwa kwanza kukamilika kabla ya jambo jingine lolote kutokea. Mchoro huo unaonyesha kubadilishana kwa uthibitishaji, sio vitambulisho: mnyororo wa vyeti hufanya ujumbe huo kuwa mkubwa zaidi kuliko ule uliopita, na njia isiyopenda datagrami kubwa itaitupa kimya kimya. Kuna mifumo miwili tofauti ya ugawaji inayohusika, na kujua unayoangalia ipi huamua suluhisho.

Mifumo miwili ya ugawaji, dalili moja

IKEv2 ina kiendelezi chake cha ugawaji, kilichofafanuliwa katika RFC 7383, ambacho hugawanya ujumbe wa IKE uliolindwa kuwa ujumbe mdogo wa IKE. Pande mbili hujadiliana kuhusu uwezo huo, na ujumbe hukusanywa tena na utekelezaji wa IKE badala ya tabaka la IP.

Ugawaji wa kawaida wa IP ni mfumo mwingine wenye hali tofauti ya kushindwa. Kipanga njia kati ya pande mbili hugawanya datagrami kubwa, au kuitupa na kurudisha ujumbe wa ICMP ambao unaweza usifike kamwe kwa mtumaji. Mitandao mingine hutupa vipande kimya kimya, na vifaa vingine vya kati hushughulikia kipande cha kwanza lakini sio kingine. Kwa mtazamo wa programu, hali zote tatu zinaonekana sawa.

Kupita NAT huongeza kigezo cha tatu, kwa sababu wakati huo ESP hufungwa ndani ya UDP na pakiti ya nje inakuwa kubwa wakati inaonekana kama trafiki ya kawaida ya UDP kwenye mlango 4500. Njia inayopitisha UDP vizuri bado inaweza kushindwa kwenye datagrami isiyotoshea tena.

Soma kubadilishana kulikoshindwa

Tafuta mabadiliko badala ya hitilafu. Kumbukumbu inayoonyesha kubadilishana kwa kwanza kutumwa na kujibiwa, kisha hakuna chochote, inakuambia ujumbe unaofuata haukukamilika kamwe. Ongeza kiwango cha kumbukumbu kwa muda na linganisha ukubwa ulioripotiwa pande zote mbili.

Unachotaka kuthibitisha ni kama mjibuji aliuona ombi hata kidogo. Ikiwa mwanzilishi alituma kitu na mjibuji hana rekodi yoyote ya hilo, tatizo ni uwasilishaji. Ikiwa mjibuji alichambua ombi na kulikataa, tatizo ni cheti chenyewe, na ugawaji ni kuvuruga mawazo. Tofauti hiyo ina thamani zaidi ya ukurasa wa ujumbe wa muda kupita.

Badilisha njia, sio cheti

Jaribu mteja huyo huyo, cheti hicho hicho na usanidi huo huo kutoka mtandao mwingine. Hotspot ya simu kwa kawaida ni njia ya pili ya bei nafuu, na kwa kweli ni tofauti na kiungo cha ofisi, sio kwa jina tu.

Ikiwa kupeana mkono kukamilika kwenye njia ya pili, mnyororo wa vyeti ni sawa na kigezo ni njia ya kwanza. Ikiwa inashindwa kwa namna moja kwenye zote mbili, acha kujaribu mitandao na uangalie ujumbe wenyewe. Ulinganisho huo mmoja huondoa karibu nusu ya maelezo yanayowezekana.

Pima kubadilishana kabla ya kuhariri chochote

Pata ukubwa wa mnyororo na ukubwa wa njia. Nambari zote mbili hupunguza kile kupeana mkono kunaweza kutuma, na zote mbili ni za bei nafuu kupima:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

Mbili za kwanza hutoa idadi ya vyeti na ukubwa wa faili, ambayo ni kiashiria cha kuridhisha cha jinsi ujumbe wa uthibitishaji utakuwa mkubwa. Jaribio la ping huripoti kama datagrami ya ukubwa huo inastahimili njia, na vihesabu vya kiolesura vinaonyesha kama vipande vilitupwa upande wako. Kwenye Windows, jaribio linalofanana ni ping yenye bendera ya do-not-fragment na ukubwa maalum wa mzigo.

Rudia jaribio kuelekea chini hadi lifanikiwe. Ukubwa mkubwa zaidi unaopita ni bajeti ya kazi ya njia hiyo, na ni muhimu zaidi kuliko thamani yoyote ya chaguo-msingi iliyochapishwa.

Rekebisha tabaka ambalo kwa kweli limevunjika

Ikiwa njia inatupa datagrami kubwa, washa ugawaji wa IKE pande zote mbili na uthibitisha kuwa kiendelezi kilijadiliwa na sio kutolewa tu. Ikiwa njia inashughulikia vipande vibaya katika ngazi ya IP, marekebisho yanahusika hapo au kwenye MTU ya kiolesura cha nje, sio kwenye hifadhi ya vyeti.

Ikiwa mnyororo ni mrefu bila sababu, upunguze hadi vyeti vya kati ambavyo upande unahitaji kwa kweli. Kuondoa mzizi ambao mteja tayari anauamini ni utunzaji unaofaa; kuondoa cha kati sio, na kuzima uthibitishaji ili kupunguza ujumbe hubadilisha tatizo la uwasilishaji kwa tatizo la usalama.

Andika ni mfumo upi uliobadilisha na jinsi kupeana mkono kulionekana baada ya hapo. Tukio linalofuata kwa kawaida huwa kwenye mtandao mwingine wenye dalili hiyo hiyo, na dokezo ndilo linalobadilisha saa mbili kuwa dakika kumi.