IKEv2 துண்டாக்கத்தை சான்றிதழ் சங்கிலி சிக்கலில் இருந்து வேறுபடுத்துதல்

சுரங்கப்பாதை அலுவலக வலையமைப்பில் வேலை செய்தது, வீட்டில் நிற்கிறது, முதல் பரிமாற்றம் வேறு எதுவும் நடப்பதற்கு முன்பே முடிவதை பதிவு காட்டுகிறது. இந்த முறை அடையாளச் சான்றுகளை அல்ல, அங்கீகாரப் பரிமாற்றத்தைச் சுட்டுகிறது: சான்றிதழ் சங்கிலி அந்தச் செய்தியை முந்தையதை விட மிகப் பெரியதாக்குகிறது, பெரிய தரவுக்கிராமங்களை விரும்பாத பாதை அதை அமைதியாக விட்டுவிடும். இரு வேறு துண்டாக்க வழிமுறைகள் இதில் ஈடுபட்டுள்ளன, நீங்கள் எதைப் பார்க்கிறீர்கள் என்பதை அறிவது தீர்வைத் தீர்மானிக்கிறது.

இரு துண்டாக்க வழிமுறைகள், ஒரு அறிகுறி

IKEv2-க்கு அதன் சொந்த துண்டாக்க நீட்டிப்பு உள்ளது, இது RFC 7383 இல் வரையறுக்கப்பட்டுள்ளது, பாதுகாக்கப்பட்ட IKE செய்திகளை சிறிய IKE செய்திகளாகப் பிரிக்கிறது. இரு தரப்பினரும் அந்த திறனைப் பற்றிப் பேச்சுவார்த்தை நடத்துகின்றனர், செய்தி IP அடுக்கால் அல்ல, IKE செயலாக்கத்தால் மீண்டும் இணைக்கப்படுகிறது.

சாதாரண IP துண்டாக்கம் வேறு தோல்வி முறையைக் கொண்ட மற்றொரு வழிமுறை. இரு தரப்புகளுக்கு இடையிலான திசைவி ஒரு பெரிய தரவுக்கிராமத்தைத் துண்டாக்குகிறது, அல்லது அதை விட்டுவிட்டு அனுப்புநரை ஒருபோதும் அடையாத ICMP செய்தியைத் திருப்பி அனுப்புகிறது. சில வலையமைப்புகள் துண்டுகளை அமைதியாக வீசுகின்றன, சில இடைத்தரகு சாதனங்கள் முதல் துண்டைக் கையாள்கின்றன ஆனால் மற்றவற்றை அல்ல. பயன்பாட்டின் பார்வையில் மூன்று நிலைகளும் ஒரே மாதிரியாகத் தெரிகின்றன.

NAT கடத்தல் மூன்றாவது மாறியைச் சேர்க்கிறது, ஏனெனில் அப்போது ESP UDP-க்குள் சுற்றப்படுகிறது, வெளிப்புறப் பொதி பெரிதாகிறது, அதே நேரத்தில் 4500 துறைமுகத்தில் சாதாரண UDP போக்குவரத்தைப் போலத் தெரிகிறது. UDP-ஐ நன்கு கடத்தும் பாதையும் இனி பொருந்தாத தரவுக்கிராமத்தில் தோல்வியடையலாம்.

தோல்வியடைந்த பரிமாற்றத்தைப் படியுங்கள்

பிழையை அல்ல, மாற்றத்தைத் தேடுங்கள். முதல் பரிமாற்றம் அனுப்பப்பட்டு பதிலளிக்கப்பட்டது, பின்னர் எதுவுமில்லை என்று காட்டும் பதிவு, அடுத்த செய்தி ஒருபோதும் முடியவில்லை என்று கூறுகிறது. பதிவு நிலையைத் தற்காலிகமாக உயர்த்தி இரு தரப்பிலும் தெரிவிக்கப்பட்ட அளவுகளை ஒப்பிடுங்கள்.

நீங்கள் நிறுவ விரும்புவது, பதிலளிப்பவர் கோரிக்கையை ஏதேனும் பார்த்தாரா என்பதுதான். தொடங்குபவர் ஏதாவது அனுப்பி, பதிலளிப்பவரிடம் அதற்கான பதிவு எதுவும் இல்லை என்றால், சிக்கல் விநியோகத்தில் உள்ளது. பதிலளிப்பவர் கோரிக்கையை பகுப்பாய்வு செய்து நிராகரித்தார் என்றால், சிக்கல் சான்றிதழிலேயே உள்ளது, துண்டாக்கம் கவனத்தைத் திசைதிருப்புகிறது. அந்த வேறுபாடு ஒரு பக்க காலாவதி செய்திகளை விட மதிப்புமிக்கது.

பாதையை மாற்றுங்கள், சான்றிதழை அல்ல

அதே வாடிக்கையாளர், அதே சான்றிதழ், அதே உள்ளமைவை வேறு வலையமைப்பிலிருந்து சோதியுங்கள். மொபைல் ஹாட்ஸ்பாட் பொதுவாக மலிவான இரண்டாவது பாதை, அது அலுவலக இணைப்பிலிருந்து பெயரளவில் மட்டுமல்ல, உண்மையிலேயே வேறுபடுகிறது.

இரண்டாவது பாதையில் கைக்குலுக்கல் முடிந்தால், சான்றிதழ் சங்கிலி சரியாக உள்ளது, முதல் பாதையே மாறி. இரண்டிலும் ஒரே மாதிரி தோல்வியடைந்தால், வலையமைப்புகளைச் சோதிப்பதை நிறுத்தி செய்திகளையே பாருங்கள். அந்த ஒரு ஒப்பீடே சாத்தியமான விளக்கங்களில் பாதியை நீக்குகிறது.

எதையும் திருத்துவதற்கு முன் பரிமாற்றத்தை அளவிடுங்கள்

சங்கிலியின் அளவையும் பாதையின் அளவையும் பெறுங்கள். இரு எண்களும் கைக்குலுக்கல் எதை அனுப்பலாம் என்பதைக் கட்டுப்படுத்துகின்றன, இரண்டையும் அளவிடுவது மலிவு:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

முதல் இரண்டு சான்றிதழ்களின் எண்ணிக்கையையும் கோப்பின் அளவையும் தருகின்றன, இது அங்கீகாரச் செய்தி எவ்வளவு பெரியதாக இருக்கும் என்பதற்கான நியாயமான குறிகாட்டி. ping சோதனை அந்த அளவிலான தரவுக்கிராமம் பாதையில் தாக்குப்பிடிக்கிறதா என்பதைத் தெரிவிக்கிறது, இடைமுக எண்ணிகள் உங்கள் பக்கத்தில் துண்டுகள் வீசப்பட்டதா என்பதைக் காட்டுகின்றன. Windows இல் சமமான சோதனை do-not-fragment கொடி மற்றும் வெளிப்படையான பேலோட் அளவுடன் கூடிய ping ஆகும்.

வெற்றிபெறும் வரை சோதனையை கீழ்நோக்கித் திரும்பச் செய்யுங்கள். கடந்து செல்லும் மிகப்பெரிய அளவே அந்தப் பாதைக்கான வேலை பட்ஜெட், அது வெளியிடப்பட்ட எந்த இயல்புநிலையையும் விட பயனுள்ளது.

உண்மையில் உடைந்த அடுக்கைச் சரிசெய்யுங்கள்

பாதை பெரிய தரவுக்கிராமங்களை வீசினால், இரு தரப்பிலும் IKE துண்டாக்கத்தை இயக்கி, நீட்டிப்பு வெறுமனே வழங்கப்படவில்லை, பேச்சுவார்த்தை செய்யப்பட்டது என்பதை உறுதிப்படுத்துங்கள். பாதை IP மட்டத்தில் துண்டுகளை மோசமாகக் கையாண்டால், சரிசெய்தல் அங்கே அல்லது வெளிப்புற இடைமுகத்தின் MTU-வில் உள்ளது, சான்றிதழ் கிடங்கில் அல்ல.

சங்கிலி தேவையின்றி நீளமாக இருந்தால், ஒரு தரப்பிற்கு உண்மையில் தேவையான இடைநிலை சான்றிதழ்கள் வரை அதைச் சுருக்குங்கள். வாடிக்கையாளர் ஏற்கனவே நம்பும் வேர் ஒன்றை நீக்குவது நியாயமான பராமரிப்பு; இடைநிலை ஒன்றை நீக்குவது அல்ல, செய்தியைச் சுருக்க சரிபார்ப்பை முடக்குவது விநியோகச் சிக்கலை பாதுகாப்புச் சிக்கலுக்கு மாற்றுகிறது.

எந்த வழிமுறையை மாற்றினீர்கள், அதன் பிறகு கைக்குலுக்கல் எப்படி இருந்தது என்பதை எழுதுங்கள். அடுத்த நிகழ்வு பொதுவாக அதே அறிகுறியுடன் வேறு வலையமைப்பில் நடக்கும், அந்தக் குறிப்பே இரண்டு மணி நேரத்தை பத்து நிமிடங்களாக மாற்றுகிறது.