การตอบกลับ DPD พิสูจน์ว่า IKE peer ยังมีชีวิต ไม่ได้พิสูจน์ว่าข้อมูลของคุณไหล
การตอบกลับเรื่องความมีชีวิต การแจ้งเตือนการเติมข้อมูล และตัวเลือกที่แคบลงอธิบายสามสิ่งที่แตกต่างกัน อ่านแยกกันก่อนโทษสิ่งใดสิ่งหนึ่งสำหรับการหยุดชะงัก
บันทึก IPsec อาจแสดงการตอบกลับเรื่องความมีชีวิตในขณะที่แอปพลิเคชันที่อยู่ข้างหน้ายังหยุดนิ่ง และทั้งสองข้อเท็จจริงอาจเป็นจริงในเวลาเดียวกัน การตอบกลับ DPD ยืนยันว่าการประมวลผล IKE ของ peer ตอบกลับในขณะนั้น มันไม่ได้บอกอะไรเลยว่า child SA พาแพ็กเก็ตที่คุณสนใจไปหรือไม่ การถือว่าคำเตือนทุกอันใกล้เหตุขัดข้องเป็นสาเหตุของมันคือวิธีที่ปัญหาตัวเลือกถูกวินิจฉัยว่าเป็นบั๊กของโปรโตคอล มีการสังเกตสามอย่างที่มักสับสนบ่อยที่สุด และพวกมันตอบคำถามที่แตกต่างกันสามข้อ อ่านตามความเชื่อมโยงและจุดประสงค์ก่อนจะอ่านตามเวลา
แต่ละการสังเกตพิสูจน์อะไร
ตารางแยกสิ่งที่แต่ละการสังเกตยืนยันออกจากสิ่งที่มันเพียงแต่มาพร้อม
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
ไม่มีสักอย่างในสามอย่างที่เป็นข้อผิดพลาดในตัวเอง แต่ละอย่างน่าสนใจก็ต่อเมื่ออยู่ข้างๆ โฟลว์ที่คุณกำลังดีบัก และแถวที่ไม่สามารถเชื่อมกับโฟลว์เฉพาะได้ก็คือบริบท ไม่ใช่หลักฐาน
ความมีชีวิตไม่ใช่สุขภาพของข้อมูล
DPD ทำงานเป็นการแลกเปลี่ยน INFORMATIONAL ซึ่งเป็นการสนทนาระนาบควบคุมระหว่างดีมอน IKE การตอบกลับพิสูจน์ว่ากระบวนการ IKE ของ peer เข้าถึงได้และพร้อมตอบ และการหมดเวลาพิสูจน์ว่าไม่เป็นเช่นนั้น ไม่มีผลลัพธ์ใดทดสอบ child SA ตัวเลือก เส้นทางการส่งต่อ หรือการตอบกลับของแอปพลิเคชัน ดังนั้น DPD ที่แข็งแรงข้างๆ การถ่ายโอนที่หยุดนิ่งจึงเป็นภาพที่สอดคล้องกัน ไม่ใช่ความขัดแย้ง
นั่นคือเหตุผลที่บรรทัดความมีชีวิตเป็นส่วนที่ไร้ประโยชน์ที่สุดของตั๋วระนาบข้อมูล ไม่ว่าจะดูน่าอุ่นใจเพียงใดที่ด้านบนของบันทึก
การแจ้งเตือนการเติมข้อมูลเป็นคำกล่าวเกี่ยวกับการเติมข้อมูล
การเติมข้อมูล TFC เป็นบรรทัดที่ถูกอ่านเกินจริงมากที่สุดในบันทึกเหล่านี้ มันบอกว่าการเติมข้อมูลเพื่อความลับของโฟลว์ทราฟฟิกจะไม่ถูกยอมรับสำหรับ child SA นั้น ซึ่งเป็นคำกล่าวเกี่ยวกับคุณสมบัติการเติมข้อมูลแบบเลือกได้ ไม่ใช่การปฏิเสธการป้องกัน ESP การพบมันใกล้ความล้มเหลวมักเป็นเรื่องบังเอิญของความละเอียดมากเกินไป และการเปิดหรือปิดการเติมข้อมูลไม่เปลี่ยนอะไรในการครอบคลุมของตัวเลือก
ข้อกำหนด IKEv2 กำหนดทั้งการแจ้งเตือนและการเจรจาตัวเลือก และป้ายเตือนของการใช้งานไม่ได้แทนความหมายของโปรโตคอลในทั้งสองกรณี
การแคบลงเงียบกว่าและมีแนวโน้มสำคัญกว่า
ผู้ตอบสามารถยอมรับสับเซตของตัวเลือกที่เสนอ และชุดที่ยอมรับอาจถูกพิมพ์ในหลายรายการ รายการหนึ่งระบุพอร์ตและอีกรายการครอบคลุมทุกพอร์ต การอ่านเฉพาะบรรทัดแรกที่ระบุพอร์ตจะประเมินสิ่งที่ยอมรับต่ำเกินไป การอ่านเฉพาะบรรทัดกว้างจะประเมินสูงเกินไป เปรียบเทียบข้อเสนอที่พิมพ์กับนโยบายที่ติดตั้ง เพราะข้อเสนอคือสิ่งที่ peer พูดและนโยบายคือสิ่งที่เคอร์เนลจะจับคู่ เมื่อทั้งสองไม่ตรงกัน อุโมงค์มีอยู่แต่ทราฟฟิกไม่มี ซึ่งเป็นข้อร้องเรียนเป็นระยะแบบคลาสสิก เมื่อเปรียบเทียบ peer ให้สลับมุมมองท้องถิ่นและระยะไกล เพราะท้องถิ่นของแต่ละฝ่ายคือระยะไกลของอีกฝ่าย
รายการเฉพาะโฮสต์ที่มีข้อจำกัดพอร์ตคุ้มค่าที่จะอ่านสองครั้ง เพราะสิ่งเหล่านั้นคือรายการที่กัน ICMP หรือพอร์ตที่สองออกไปในขณะที่ ping ไปยังเกตเวย์ยังทำงาน
สร้างบันทึกหนึ่งรายการสำหรับโฟลว์ที่ล้มเหลว
บันทึกแหล่งที่มา ปลายทาง ตระกูลที่อยู่ โปรโตคอล และพอร์ตตามที่เห็นในการตัดสินใจป้องกัน รวมถึงการแปลใดๆ ที่จงใจทำ ค่าเหล่านี้คือค่าที่ต้องตรงกับตัวเลือก และยังเป็นค่าที่ผู้คนพิมพ์ซ้ำจากความจำเมื่อตั๋วไปถึงมือคู่ที่สาม
จากนั้น ระบุ child SA และตัวนับตามทิศทางของมัน: swanctl --list-sas ให้ข้อมูลสรุปของความสัมพันธ์บนโฮสต์ strongSwan และ ip -s xfrm state ให้ตัวนับ อ่านหลังจากคำขอที่ได้รับอนุญาตใหม่ ไม่ใช่ขณะระบบไม่ได้ใช้งาน การไม่เพิ่มขึ้นของทราฟฟิกขาออกชี้ไปที่การเลือกหรือเส้นทางท้องถิ่น ขาออกที่ไม่มีการเข้ามาที่สอดคล้องชี้ไปที่ peer การส่งต่อของมัน หรือการตอบกลับของมัน
การแลกเปลี่ยนแอปพลิเคชันที่เสร็จสมบูรณ์มีความสำคัญกว่าตัวนับใดๆ ดังนั้นการทดสอบควรสิ้นสุดที่แอปพลิเคชัน ไม่ใช่ที่ตัวบ่งชี้อุโมงค์
เลือกการแก้ไขหลังจากนั้น
เฉพาะเมื่อบันทึกนั้นมีอยู่จึงมีการแก้ไขให้เลือก ได้แก่ ตัวเลือกที่ยอมรับ เส้นทาง การกรอง การใช้งานของ peer หรือขอบเขตที่คุณเพิ่งพิสูจน์ การรีเซ็ต peer เปลี่ยนหลายสถานะพร้อมกันและมักคืนทราฟฟิกโดยไม่อธิบายว่าสิ่งใดผิด ดังนั้นเหตุขัดข้องจะกลับมา เก็บดัมป์สถานะเคอร์เนลออกจากตั๋วด้วย เพราะอาจมีคีย์อยู่ และข้อมูลสรุปแบบแคบก็เพียงพอสำหรับใครก็ตามที่ต้องช่วย
เมื่อบันทึกขัดแย้งกับทฤษฎีแรกของคุณ จงเชื่อบันทึกและเขียนทฤษฎีใหม่ นิสัยนั้นมีค่ามากกว่าบรรทัดบันทึกใดๆ เพียงบรรทัดเดียวที่กล่าวถึงที่นี่