Nakaangat ang child SA ng IPsec, ngunit nananatiling sero ang mga counter ng packet

Inangat mo ang tunnel, nagbibilang pababa ang rekey timer, at sero pa rin ang packet sa dalawang direksyon. Wala sa pares na iyon ng numero ang nagsasabing tinanggihan ng peer ang tunnel mo: ang naka-install na CHILD SA na may tulog na counter ay normal na kalagayan ng association na wala pang tumugma. Ang gawain ay patunayan na dapat may tumugmang packet, pagkatapos hanapin ang puntong nilisan nito ang landas na inilalarawan ng mga selector. Gawin ito nang isang beses, sa pagkakasunod-sunod, at panatilihing pareho ang kahilingan sa pagitan ng mga run.

Ano ba talaga ang pinapatunayan ng sero na counter

Ang CHILD SA ay isang pares ng selector at ang mga key at SPI na nag-e-encrypt ng trapik na pumapasok sa mga saklaw na iyon. Ang pag-install nito ay nangangahulugan lamang na nagkasundo ang dalawang peer sa mga saklaw at sa mga na-derive na key; itatago ito ng kernel nang ilang oras nang walang kahit isang packet na dumarating. Kaya ang tanong ay hindi kailanman kung may tunnel, kundi kung may packet na ipinadala ng test mo na pumasok sa mga saklaw na napagkasunduan ng dalawang peer. Kung wala, mananatiling sero ang counter at mag-e-expire ang association nang hindi nagamit sa dulo ng buhay nito.

Binabago ng pagkakaibang iyon ang una mong sinusuri. Ang tinanggihang proposal, pagkabigo sa authentication o namamatay na IKE SA ay lumalabas sa log o sa listahan ng SA, hindi bilang tahimik na sero. Ang tunnel na malinis na nagkasundo at pagkatapos ay nanatiling tulog ay tumuturo sa pagtutugma, ruta o pinagmulan ng test traffic sa halip.

Magpadala ng daloy na mailalarawan mo bago mo ito ipadala

Pumili ng destinasyon sa loob ng protektadong subnet at magbukas ng bagong koneksyon papunta roon; ang pahinang ni-load mo isang oras ang nakalipas ay maaaring ihain mula sa cache, at ang naka-cache na sagot ay hindi kailanman dumadampi sa tunnel. Pagkatapos isulat ang apat na halaga habang hipotetikal pa ang kahilingan: ang source address na ibibigkis ng aplikasyon, ang destinasyon, ang pamilya ng address at ang pangalan o pares ng selector ng child na binabantayan mo. Ang talaang iyon ang nagpapalit ng patag na counter sa isang pahayag na masusubok.

Ang source address ang halagang nilalaktawan ng mga tao, at ito ang madalas na sumisira sa test. Ang laptop na may wired address, Wi-Fi address at tunnel address ay maaaring magbigkis ng alinman sa mga ito depende sa route lookup, at isa lamang ang maaaring nasa loob ng napagkasunduang saklaw. Gumamit ng kasangkapan na nagpapahintulot sa iyong i-pin ang source, tulad ng ping -I 10.1.0.5 10.2.0.9 o curl --interface 10.1.0.5, para hindi tahimik na pumili ng ibang address ang packet. Kapag ginagalaw ng naka-pin na run ang counter at hindi ginagalaw ng hindi naka-pin, nakakita ka ng problema sa routing at hindi problema sa IPsec.

Aling mga numero ang babasahin, at saan sila nakatira

Sa Linux, ipinapasa ng ip -s xfrm state ang bawat association na may linyang lifetime current: na ang kabuuang byte at kabuuang packet ay pag-aari lamang ng SA na iyon, na sinusundan ng linyang stats: para sa replay at mga bilang ng error. Sa peer na strongSwan, naglilimbag ang swanctl --list-sas ng isang linyang in at isang linyang out kada naka-install na child, bawat isa ay nagtatapos sa bilang ng byte at bilang ng packet; tinatawag ng mas lumang stroke tooling ang parehong pares na bytes_i at bytes_o. Basahin nang hiwalay ang dalawang direksyon, dahil ang nanatiling patag ang siyang natuklasan. Ang pagsasama-sama nila ay nagtatago ng eksaktong asimetriyang hinahanap mo.

Pera ang dalawang view sa bawat association, kaya ang rekey ay nag-i-install ng bagong pares ng SPI at bumabalik sa sero ang baseline mo nang walang nasisira. Itala ang SPI na binabantayan mo bago tumunog ang rekey timer, kung hindi ay ihahambing mo ang bagong SA sa lumang numero. Kung tumataas ang palabas habang patag ang papasok, tumugma ang selector ngunit hindi na bumalik ang sagot, na naglilipat ng imbestigasyon sa forwarding ng peer at sa sarili nitong patakaran. Sinasaklaw ng dokumentasyon ng konfigurasyon ng IKEv2 ng strongSwan ang lifecycle ng child SA at ang timing ng rekey sa likod ng mga numerong iyon.

Ang observation point ay hiwalay na variable sa pinagmulan ng packet. Maaaring dagdagan ng hardware offload ang counter ng association habang walang ipinapakita ang software capture sa interface, dahil nilalaktawan ng offloaded packet ang hook na kinauupuan ng capture, at maaari ring mag-iba ang ingress sa parehong paraan. Kapag hindi nagkasundo ang dalawa, gamitin ang counter para sagutin kung may tumugma at ang capture para sagutin kung ano ang itsura ng packet.

Ruta, selector at kung saan isinilang ang packet

Paghambingin ang tatlong bagay nang magkatabi: ang rutang pinipili ng kernel para sa destinasyon mo, ang patakarang nagdadala ng trapik papasok sa tunnel, at ang pares ng selector na napagkasunduan ng child. Pinapangalanan ng ip route get 10.2.0.9 from 10.1.0.5 ang interface at source na gagamitin ng kernel, na kadalasan ay hindi ang pares na inakala mo. Ipinapakita ng ip xfrm policy ang mga template at selector na naka-install nang lokal, habang ipinapakita ng swanctl --list-sas kung ano ang sinang-ayunan ng peer. Ang lookup na nagpapalabas ng packet sa pisikal na interface ay hindi umaabot sa patakaran, kaya hindi gumagalaw ang counter.

Dumarating ang mga mismatch sa ilang anyo na magkapareho ang itsura mula sa counter. Ang destinasyong IPv6 sa labas ng selector na IPv4, source address mula sa maling subnet, at patakarang mas makitid kaysa sa child ay lahat nagbubunga ng parehong sero. Ayusin muna ang pinakamakitid na dahilan, dahil ang pagpapalawak ng selector para lamang ilipat ang numero ay nagbabago ng ipinoprotekta ng tunnel.

Pagkatapos mayroon ang pinagmulan ng packet, ang bitag na inilalagay ng gateway para sa sarili nitong operator. Ang trapik na likha ng gateway mismo ay itinatapat sa patakaran ng output, habang ang packet na ipinapasa nito para sa isang kliyente ay itinatapat sa patakaran ng forwarding, kaya ang ping mula sa kahon ay maaaring magtagumpay sa landas na hindi tinatahak ng kahit anong kliyente.

Isang nababalik na pagbabago at ulat na nakakalusot sa review

Baguhin ang isang elemento, ulitin ang parehong kahilingan at basahin ang parehong counter. Ang paglilinis ng lahat ng patakaran ng firewall o pagpapalit ng lahat ng selector nang sabay ay maglilipat ng numero at sisira sa ebidensyang nagsabi kung bakit. Kung sero pa rin ang ikalawang run, inalis mo ang isang haka-haka sa halip na sayangin ang hapon.

Isulat ang natuklasan sa anyong kayang kopyahin ng iba: pangalan ng child, mga tinanggap na saklaw, ang source na in-pin mo, ang destinasyong sinubukan mo, ang direksyong nanatiling sero at ang SPI na binabasa mo. Hinihiwalay ng pangungusap na iyon ang association na walang gumamit mula sa malayong aplikasyon na tumanggap ng trapik at tumanggi rito. Ibalik ang pagbabago kapag hindi nito ginagalaw ang counter, at itago ang talaan; magsisimula ang susunod na tao sa kinahantungan mo. Wala sa tunnel ang kailangang itayong muli para sa lahat ng ito, at iyon ang punto ng pagsuri ng pagtutugma bago hawakan ang konfigurasyon.