IPsec చైల్డ్ SA పని చేస్తోంది, కానీ ప్యాకెట్ కౌంటర్లు సున్నా వద్దే ఉన్నాయి

మీరు టన్నెల్ను పైకి లేపారు, రీకీ టైమర్ కౌంట్డౌన్ అవుతోంది, ఇప్పటికీ రెండు దిశలు సున్నా ప్యాకెట్లను చూపుతున్నాయి. ఆ రెండు సంఖ్యల జోడీలో పీర్ మీ టన్నెల్ను తిరస్కరించిందని ఏదీ చెప్పడం లేదు: నిష్క్రియ కౌంటర్లతో ఇన్స్టాల్ చేసిన CHILD SA అనేది ఇంకా ఏదీ సరిపోలని అసోసియేషన్ యొక్క సాధారణ స్థితి. ప్యాకెట్ సరిపోలి ఉండాలని నిరూపించి, ఆ తర్వాత సెలెక్టర్లు వివరించే మార్గం నుండి అది ఎక్కడ వైదొలిగిందో కనుగొనడం పని. దీన్ని ఒకసారి, క్రమంగా చేయండి మరియు రన్ల మధ్య అభ్యర్థనను ఒకేలా ఉంచండి.

సున్నా కౌంటర్ నిజంగా ఏమి నిరూపిస్తుంది

CHILD SA అనేది ఒక సెలెక్టర్ జోడీ మరియు ఆ పరిధుల్లోకి వచ్చే ట్రాఫిక్ను ఎన్క్రిప్ట్ చేసే కీలు మరియు SPI. దాన్ని ఇన్స్టాల్ చేయడం అంటే రెండు పీర్లు ఆ పరిధులు మరియు ఉత్పన్నమైన కీలపై అంగీకరించాయి అని మాత్రమే; ఒక్క ప్యాకెట్ కూడా రాకుండా కర్నెల్ దాన్ని గంటల తరబడి ఉంచుతుంది. కాబట్టి ప్రశ్న ఎప్పుడూ టన్నెల్ ఉందా అని కాదు, మీ పరీక్ష పంపిన ఏదైనా ప్యాకెట్ రెండు పీర్లు సంప్రదింపులు చేసుకున్న పరిధుల్లో పడిందా అని. ఏదీ పడకపోతే, కౌంటర్లు సున్నా వద్దే ఉంటాయి మరియు అసోసియేషన్ తన జీవితకాలం ముగింపులో ఉపయోగించకుండా గడువు ముగుస్తుంది.

ఆ భేదం మీరు మొదట ఏమి పరిశీలిస్తారో మారుస్తుంది. తిరస్కరించిన ప్రతిపాదన, ప్రామాణీకరణ వైఫల్యం లేదా మరణిస్తున్న IKE SA అన్నీ లాగ్లో లేదా SA జాబితాలో కనిపిస్తాయి, నిశ్శబ్ద సున్నాగా కాదు. శుభ్రంగా సంప్రదింపులు చేసి ఆ తర్వాత నిష్క్రియంగా ఉండే టన్నెల్ బదులుగా సరిపోలిక, మార్గనిర్దేశం లేదా పరీక్ష ట్రాఫిక్ మూలాన్ని సూచిస్తుంది.

పంపే ముందు వివరించగల ప్రవాహాన్ని పంపండి

సంరక్షిత సబ్నెట్ లోపల ఒక గమ్యాన్ని ఎంచుకుని దానికి కొత్త కనెక్షన్ తెరవండి; గంట క్రితం లోడ్ చేసిన పేజీ కాష్ నుండి రావచ్చు, కాష్ చేసిన ప్రత్యుత్తరం టన్నెల్ను ఎప్పటికీ తాకదు. తర్వాత అభ్యర్థన ఇంకా ఊహాత్మకంగా ఉన్నప్పుడే నాలుగు విలువలు రాయండి: అప్లికేషన్ బైండ్ చేయబోయే మూల చిరునామా, గమ్యం, చిరునామా కుటుంబం మరియు మీరు గమనిస్తున్న చైల్డ్ పేరు లేదా సెలెక్టర్ జోడీ. ఆ నమోదే చదునైన కౌంటర్ను పరీక్షించగల వాదనగా మారుస్తుంది.

మూల చిరునామా ప్రజలు దాటవేసే విలువ, పరీక్షను ఎక్కువగా చేధించేది కూడా అదే. వైర్డ్ చిరునామా, Wi-Fi చిరునామా మరియు టన్నెల్ చిరునామా ఉన్న ల్యాప్టాప్ మార్గ శోధనను బట్టి వాటిలో ఏదైనా బైండ్ చేయగలదు, ఒకటి మాత్రమే సంప్రదింపు పరిధిలో ఉండవచ్చు. మూలాన్ని పిన్ చేయడానికి అనుమతించే సాధనాన్ని ఉపయోగించండి, ఉదాహరణకు ping -I 10.1.0.5 10.2.0.9 లేదా curl --interface 10.1.0.5, తద్వారా ప్యాకెట్ నిశ్శబ్దంగా మరో చిరునామాను ఎంచుకోలేదు. పిన్ చేసిన రన్ కౌంటర్లను కదిలించి, పిన్ చేయని రన్ కదిలించకపోతే, మీరు IPsec సమస్యను కాదు, మార్గనిర్దేశన సమస్యను కనుగొన్నారు.

ఏ సంఖ్యలను చదవాలి, అవి ఎక్కడ నివసిస్తాయి

Linux లో ip -s xfrm state ప్రతి అసోసియేషన్ను lifetime current: లైన్తో ముద్రిస్తుంది, దాని బైట్ మొత్తం మరియు ప్యాకెట్ మొత్తం ఆ SA కే చెందుతాయి, తర్వాత రీప్లే మరియు లోపాల గణనల కోసం stats: లైన్ వస్తుంది. strongSwan పీర్ వద్ద swanctl --list-sas ఇన్స్టాల్ చేసిన ప్రతి చైల్డ్కు ఒక in లైన్ మరియు ఒక out లైన్ ముద్రిస్తుంది, ప్రతిదీ బైట్ గణన మరియు ప్యాకెట్ గణనతో ముగుస్తుంది; పాత stroke సాధనాలు అదే జోడీని bytes_i మరియు bytes_o అని పిలుస్తాయి. రెండు దిశలను విడివిడిగా చదవండి, ఎందుకంటే చదునైనదిగా మిగిలిన దిశే ఆవిష్కరణ. వాటిని కలిపితే మీరు వెతుకుతున్న అసమానత్వాన్ని సరిగ్గా దాచుతుంది.

రెండు వీక్షణలు అసోసియేషన్ ప్రకారం, కాబట్టి రీకీ కొత్త SPI జోడీని ఇన్స్టాల్ చేస్తుంది మరియు మీ బేస్లైన్ ఏదీ పగలకుండా సున్నాకు తిరిగి వస్తుంది. రీకీ టైమర్ మొదలయ్యే ముందు మీరు గమనిస్తున్న SPI ను నమోదు చేయండి, లేకపోతే కొత్త SA ను పాత సంఖ్యతో పోలుస్తారు. బయటకు వెళ్లేది పెరుగుతూ లోపలికి వచ్చేది చదునుగా ఉంటే, సెలెక్టర్ సరిపోలింది కానీ ప్రత్యుత్తరం ఎప్పటికీ తిరిగి రాలేదు, ఇది దర్యాప్తును పీర్ ఫార్వార్డింగ్ మరియు దాని స్వంత విధానం వైపు మళ్లిస్తుంది. strongSwan యొక్క IKEv2 కాన్ఫిగరేషన్ డాక్యుమెంటేషన్ చైల్డ్ SA జీవిత చక్రాన్ని మరియు ఆ సంఖ్యల వెనుక ఉన్న రీకీ సమయాన్ని కవర్ చేస్తుంది.

పరిశీలన బిందువు ప్యాకెట్ మూలం నుండి వేరైన చరరాశి. హార్డ్వేర్ ఆఫ్లోడ్ అసోసియేషన్ కౌంటర్లను పెంచగలదు, అయితే ఇంటర్ఫేస్పై సాఫ్ట్వేర్ క్యాప్చర్ ఏమీ చూపదు, ఎందుకంటే ఆఫ్లోడ్ చేసిన ప్యాకెట్లు క్యాప్చర్ కూర్చున్న హుక్ను దాటుతాయి, ఇన్గ్రెస్ కూడా అదే విధంగా వైదొలగవచ్చు. రెండూ ఏకీభవించనప్పుడు, ఏదైనా సరిపోలిందా అని సమాధానం ఇవ్వడానికి కౌంటర్లను, ప్యాకెట్ ఎలా ఉంది అని సమాధానం ఇవ్వడానికి క్యాప్చర్ను ఉపయోగించండి.

మార్గం, సెలెక్టర్లు మరియు ప్యాకెట్ పుట్టిన స్థలం

మూడు విషయాలను పక్కపక్కన పోల్చండి: కర్నెల్ మీ గమ్యానికి ఎంచుకునే మార్గం, ట్రాఫిక్ను టన్నెల్ లోకి నడిపించే విధానం, మరియు చైల్డ్ సంప్రదింపులు చేసుకున్న సెలెక్టర్ జోడీ. ip route get 10.2.0.9 from 10.1.0.5 కర్నెల్ ఉపయోగించే ఇంటర్ఫేస్ మరియు మూలాన్ని పేర్కొంటుంది, అది తరచుగా మీరు ఊహించిన జోడీ కాదు. ip xfrm policy స్థానికంగా ఇన్స్టాల్ చేసిన టెంప్లేట్లు మరియు సెలెక్టర్లను చూపుతుంది, అయితే swanctl --list-sas పీర్ ఏమి అంగీకరించిందో చూపుతుంది. ప్యాకెట్ను భౌతిక ఇంటర్ఫేస్ ద్వారా బయటకు పంపే శోధన విధానానికి అసలు చేరుకోదు, కాబట్టి కౌంటర్లు కదలలేవు.

సరిపోలని సమస్యలు కౌంటర్ నుండి ఒకేలా కనిపించే అనేక రూపాల్లో వస్తాయి. IPv4 సెలెక్టర్కు వెలుపల ఉన్న IPv6 గమ్యం, తప్పు సబ్నెట్ నుండి మూల చిరునామా, చైల్డ్ కంటే ఇరుకైన విధానం అన్నీ అదే సున్నాను ఉత్పత్తి చేస్తాయి. అత్యంత ఇరుకైన కారణాన్ని మొదట సరిచేయండి, ఎందుకంటే సంఖ్యను కదిలించడానికి మాత్రమే సెలెక్టర్ను విస్తరించడం టన్నెల్ ఏమి కాపాడుతుందో మారుస్తుంది.

తర్వాత ప్యాకెట్ మూలం ఉంది, ఒక గేట్వే తన సొంత ఆపరేటర్ కోసం పెట్టే ఉచిత్రం. గేట్వే తానే ఉత్పత్తి చేసే ట్రాఫిక్ అవుట్పుట్ విధానంతో సరిపోలుతుంది, అయితే క్లయింట్ కోసం అది ఫార్వార్డ్ చేసే ప్యాకెట్ ఫార్వార్డ్ విధానంతో సరిపోలుతుంది, కాబట్టి బాక్స్ నుండి వచ్చే ping ఏ క్లయింట్ కూడా ఎప్పుడూ వెళ్లని మార్గంలో విజయవంతం కావచ్చు.

ఒక తిరిగి మార్చగల మార్పు మరియు సమీక్షను తట్టుకునే నివేదిక

ఒకే మూలకాన్ని మార్చండి, అదే అభ్యర్థనను పునరావృతం చేసి అదే కౌంటర్లను చదవండి. అన్ని ఫైర్వాల్ నియమాలను తొలగించడం లేదా అన్ని సెలెక్టర్లను ఒకేసారి మార్చడం ఒక సంఖ్యను కదిలిస్తుంది మరియు ఎందుకు అని చెప్పిన సాక్ష్యాలను నాశనం చేస్తుంది. రెండో రన్ ఇంకా సున్నా చూపితే, మధ్యాహ్నాన్ని వృథా చేయడం బదులు మీరు ఒక ఊహను తొలగించారు.

కనుగొన్నదాన్ని మరొకరు పునరుత్పత్తి చేయగల రూపంలో రాయండి: చైల్డ్ పేరు, అంగీకరించిన పరిధులు, మీరు పిన్ చేసిన మూలం, మీరు పరీక్షించిన గమ్యం, సున్నా వద్ద మిగిలిన దిశ మరియు మీరు చదువుతున్న SPI. ఆ వాక్యం ఎవరూ ఉపయోగించని అసోసియేషన్ను ట్రాఫిక్ స్వీకరించి తిరస్కరించిన దూరపు అప్లికేషన్ నుండి వేరు చేస్తుంది. మార్పు కౌంటర్లను కదిలించకపోతే దాన్ని తిరిగి తీసుకోండి, నమోదు ఉంచండి; తర్వాతి వ్యక్తి మీరు ఆగిన చోటి నుండి ప్రారంభిస్తారు. వీటిలో దేనికీ టన్నెల్లో ఏదీ తిరిగి నిర్మించాల్సిన అవసరం లేదు, కాన్ఫిగరేషన్ను తాకే ముందు సరిపోలికను పరిశీలించడం యొక్క అర్థం అదే.