Ibahin ang pag-fragment ng IKEv2 sa problema ng kadena ng sertipiko

Gumana ang tunel sa network ng opisina at natigil ito sa bahay, at ipinapakita ng log na natapos ang unang pagpapalitan bago pa mangyari ang anumang iba. Itinuturo ng pattern na iyon ang pagpapalitang pang-autentikasyon, hindi ang mga kredensyal: pinapalaki ng kadena ng sertipiko ang mensaheng iyon nang malaki kaysa sa nauna, at ang rutang hindi gusto ang malalaking datagram ay tahimik na itatapon ito. May dalawang magkaibang mekanismo ng pag-fragment na sangkot, at ang pag-alam kung alin ang tinitingnan mo ang nagtatakda ng pagwawasto.

Dalawang mekanismo ng pag-fragment, isang sintomas

May sariling extension ng pag-fragment ang IKEv2, na tinukoy sa RFC 7383, na naghahati sa mga protektadong mensahe ng IKE sa mas maliliit na mensahe ng IKE. Nakikipagnegosasyon ang dalawang panig sa kakayahang iyon, at ang mensahe ay muling binubuo ng implementasyon ng IKE at hindi ng layer ng IP.

Ang ordinaryong pag-fragment ng IP ay ibang mekanismo na may ibang paraan ng pagpalya. Hinahati ng router sa pagitan ng mga panig ang malaking datagram, o itinatapon ito at nagbabalik ng mensahe ng ICMP na maaaring hindi kailanman makarating sa nagpadala. Tahimik na itinatapon ng ilang network ang mga fragment, at ang ilang gitnang aparato ay humahawak sa unang fragment ngunit hindi sa iba pa. Sa pananaw ng aplikasyon, magkapareho ang hitsura ng tatlong kaso.

Ang pagdaan sa NAT ay nagdaragdag ng ikatlong baryabol, dahil ang ESP ay binabalot sa UDP at lumalaki ang panlabas na pakete habang mukhang ordinaryong trapiko ng UDP sa port 4500. Ang rutang maayos na nagpapadaan ng UDP ay maaari pa ring mabigo sa datagram na hindi na kasya.

Basahin ang pagpapalitang nabigo

Hanapin ang transisyon, hindi ang error. Ang log na nagpapakita ng unang pagpapalitan na naipadala at nasagot, na sinusundan ng wala, ay nagsasabi sa iyo na ang susunod na mensahe ay hindi kailanman natapos. Panandaliang itaas ang antas ng log at ihambing ang mga iniulat na sukat sa dalawang panig.

Ang nais mong itatag ay kung nakita man ng tumutugon ang kahilingan. Kung may ipinadala ang nagpasimula at walang anumang talaan ang tumutugon tungkol dito, ang problema ay ang paghahatid. Kung sinuri ng tumutugon ang isang kahilingan at tinanggihan ito, ang sertipiko mismo ang problema, at ang pag-fragment ay isang abala. Ang pagkakaibang iyon ay mas mahalaga kaysa sa isang pahina ng mga mensahe ng timeout.

Palitan ang ruta, hindi ang sertipiko

Subukan ang parehong kliyente, parehong sertipiko at parehong configuration mula sa ibang network. Ang mobile hotspot ay karaniwang ang pinakamurang ikalawang ruta, at tunay itong naiiba sa link ng opisina, hindi lamang sa pangalan.

Kung natapos ang pakikipagkamay sa ikalawang ruta, maayos ang kadena ng sertipiko at ang unang ruta ang baryabol. Kung parehong nabigo ito sa dalawa, itigil ang pagsubok ng mga network at tingnan ang mga mensahe mismo. Ang nag-iisang paghahambing na iyon ay nag-aalis ng halos kalahati ng mga posibleng paliwanag.

Sukatin ang pagpapalitan bago baguhin ang anuman

Kunin ang sukat ng kadena at ang sukat ng ruta. Pareho ang mga bilang na naglilimita sa maipapadala ng pakikipagkamay, at parehong mura ang pagsukat:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

Ang unang dalawa ay nagbibigay ng bilang ng mga sertipiko at sukat ng file, na isang makatwirang tagapagpahiwatig kung gaano kalaki ang magiging mensahe ng autentikasyon. Ang pagsubok ng ping ay nag-uulat kung ang datagram na ganoon ang sukat ay nakakaligtas sa ruta, at ipinapakita ng mga counter ng interface kung ang mga fragment ay itinapon sa iyong panig. Sa Windows, ang katumbas na pagsubok ay ping na may flag na do-not-fragment at tahasang sukat ng payload.

Ulitin ang pagsubok pababa hanggang magtagumpay. Ang pinakamalaking sukat na pumapasa ay ang budget sa trabaho para sa rutang iyon, at mas kapaki-pakinabang ito kaysa sa anumang na-publish na default.

Ayusin ang layer na talagang sira

Kung itinatapon ng ruta ang malalaking datagram, paganahin ang pag-fragment ng IKE sa dalawang panig at kumpirmahin na ang extension ay nakipagnegosasyon at hindi lamang inalok. Kung hindi maganda ang paghawak ng ruta sa mga fragment sa antas ng IP, ang pagwawasto ay nabibilang doon o sa MTU ng panlabas na interface, hindi sa imbakan ng sertipiko.

Kung ang kadena ay hindi kinakailangang mahaba, paikliin ito hanggang sa mga intermediate na sertipikong talagang kailangan ng isang panig. Ang pag-alis ng root na pinagkakatiwalaan na ng kliyente ay makatwirang pagpapanatili; ang pag-alis ng intermediate ay hindi, at ang pagpatay ng verification para paliitin ang isang mensahe ay nagpapalit ng problema sa paghahatid para sa problema sa seguridad.

Isulat kung aling mekanismo ang binago mo at kung ano ang hitsura ng pakikipagkamay pagkatapos. Ang susunod na pangyayari ay karaniwang sa ibang network na may parehong sintomas, at ang tala ang nagpapalit ng dalawang oras sa sampung minuto.