Pinatutunayan ng mga tugon ng DPD na buhay ang kapares na IKE, hindi na dumadaloy ang datos mo
Ang mga tugon ng pagkabuhay, isang abiso sa padding at mga pinakitid na tagapili ay naglalarawan ng tatlong magkaibang bagay. Basahin ang mga ito nang hiwalay bago sisihin ang isa sa kanila sa isang paghinto.
Ang mga log ng IPsec ay maaaring magpakita ng mga tugon ng pagkabuhay habang ang aplikasyon sa harap nila ay nakatigil, at ang dalawang katotohanan ay maaaring totoo nang sabay. Ang tugon ng DPD ay nagpapatunay na sumagot ang pagpoproseso ng IKE ng kapares sa sandaling iyon; wala itong sinasabi tungkol sa kung dinadala ng anak na SA ang packet na mahalaga sa iyo. Ang ituring ang bawat babala malapit sa isang aberya bilang sanhi nito ay ang paraan kung paano nadidiagnose ang problema sa tagapili bilang bug sa protocol. Tatlong obserbasyon ang pinakamadalas mapagkamalan, at sumasagot sila sa tatlong magkaibang tanong. Basahin ang mga ito ayon sa kaugnayan at layunin bago basahin ayon sa tatak ng oras.
Ano ang pinatutunayan ng bawat obserbasyon
Hinihiwalay ng talahanayan kung ano ang itinatatag ng bawat obserbasyon at kung ano ang kasama lamang nito.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Wala sa tatlo ang error sa sarili nito. Bawat isa ay nagiging kawili-wili lamang sa tabi ng daloy na ini-debug mo, at ang hilera na hindi maikakabit sa isang partikular na daloy ay konteksto, hindi ebidensya.
Ang pagkabuhay ay hindi kalusugan ng datos
Tumatakbo ang DPD bilang palitan ng INFORMATIONAL, isang usapan sa antas ng kontrol sa pagitan ng mga IKE daemon. Ang tugon ay nagpapatunay na maabot ang proseso ng IKE ng kapares at handa itong sumagot, at ang paglampas sa oras ay nagpapatunay na hindi. Wala sa mga resulta ang sumusubok sa anak na SA, sa mga tagapili, sa daanan ng pagpapasa o sa tugon ng aplikasyon, kaya ang malusog na DPD sa tabi ng nakatigil na paglilipat ay magkakaugnay na larawan, hindi kontradiksyon.
Iyon ang dahilan kung bakit ang mga hilera ng pagkabuhay ang pinakamaliit na kapaki-pakinabang na bahagi ng tiket sa antas ng datos, gaano man kapanatag ang itsura nito sa itaas ng log.
Ang abiso sa padding ay isang pahayag tungkol sa padding
Ang padding ng TFC ang pinakasobrang nababasa na hilera sa mga log na ito. Sinasabi nito na hindi tatanggapin ang padding para sa pagiging lihim ng daloy ng trapiko para sa anak na SA na iyon, na pahayag tungkol sa opsyonal na tampok na padding at hindi pagtanggi sa proteksyon ng ESP. Ang matuklasan ito malapit sa pagpalya ay karaniwang nagkataon lamang dahil sa dami ng salita, at ang pag-on o pag-off ng padding ay walang binabago sa saklaw ng mga tagapili.
Tinutukoy ng espesipikasyon ng IKEv2 ang abiso at ang negosasyon ng tagapili, at ang tatak ng babala ng isang implementasyon ay hindi pumapalit sa kahulugan ng protocol sa alinman sa dalawang kaso.
Ang pagpapakitid ay mas tahimik at mas malamang na mahalaga
Maaaring tanggapin ng tagatugon ang isang subset ng mga inaalok na tagapili, at ang tinanggap na set ay maaaring i-print sa ilang entry, isa na kwalipikado sa port at isa pa na sumasaklaw sa lahat ng port. Ang pagbasa lamang sa unang hilerang kwalipikado sa port ay nagmamaliit sa tinanggap; ang pagbasa lamang sa malawak na hilera ay nagmamalaki nito. Ihambing ang nakalimbag na panukala sa naka-install na patakaran, dahil ang panukala ang sinabi ng mga kapares at ang patakaran ang itatapat ng kernel. Kapag hindi sila magkatugma, mayroon ang tunel at wala ang trapiko, na siyang klasikong paminsan-minsang reklamo. Baliktarin ang lokal at malayong pananaw kapag inihahambing ang mga kapares, dahil ang lokal ng bawat panig ay ang malayo ng kabila.
Ang mga entry na partikular sa host na may paghihigpit sa port ay sulit basahin nang dalawang beses, dahil ang mga ito ang nagbubukod sa ICMP o ikalawang port habang nananatiling gumagana ang ping patungo sa gateway.
Bumuo ng isang talaan para sa daloy na nabibigo
Itala ang pinagmulan, destinasyon, pamilya ng address, protocol at port kung paano nakikita sa desisyon ng proteksyon, kasama ang anumang sinadyang salin. Ito ang mga halagang dapat tumugma sa isang tagapili, at ito rin ang mga halagang muling tinatype ng mga tao mula sa memorya kapag ang tiket ay umabot sa ikatlong pares ng mga kamay.
Pagkatapos ay kilalanin ang anak na SA at ang mga direksyunal na kontador nito: ang swanctl --list-sas ay nagbibigay ng buod ng asosasyon sa isang host na strongSwan, at ang ip -s xfrm state ay nagbibigay ng mga kontador. Basahin ang mga ito pagkatapos ng sariwang pinahintulutang kahilingan at hindi habang walang ginagawa ang sistema. Walang pagtaas sa palabas na trapiko ang tumuturo sa pagpili o sa lokal na daanan; palabas na walang katumbas na papasok ay tumuturo sa kapares, sa pagpapasa nito o sa mga tugon nito.
Ang natapos na palitan ng aplikasyon ay mas mataas kaysa sa alinman sa mga kontador, kaya dapat magtapos ang pagsubok sa aplikasyon at hindi sa tagapahiwatig ng tunel.
Piliin ang pagwawasto pagkatapos
Kapag may talaan na iyon lamang may pagwawastong mapipili: mga tinanggap na tagapili, ruta, pagsasala, implementasyon ng kapares, o isang hangganan na ipinakita mo na ngayon. Ang pag-reset sa kapares ay nagbabago ng ilang estado nang sabay at madalas na ibinabalik ang trapiko nang hindi ipinapaliwanag kung alin ang mali, kaya bumabalik ang aberya. Itago rin ang mga dump ng estado ng kernel sa labas ng mga tiket, dahil maaaring may mga susi ang mga ito at sapat na ang makitid na buod para sa sinumang kailangang tumulong.
Kapag ang talaan ay sumasalungat sa una mong teorya, maniwala sa talaan at muling isulat ang teorya; ang ugali na iyon ay mas mahalaga kaysa sa alinmang solong hilera ng log na tinalakay dito.