DPD yanıtları IKE eşinin canlı olduğunu kanıtlar, verilerinizin aktığını değil
Canlılık yanıtları, bir dolgu bildirimi ve daraltılmış seçiciler üç farklı şeyi tanımlar. Bir tıkanmayı suçlamadan önce bunları ayrı ayrı okuyun.
IPsec günlükleri, önlerindeki uygulama takılıyken bile canlılık yanıtları gösterebilir ve iki olgu aynı anda doğru olabilir. Bir DPD yanıtı, eşin IKE işlemesinin o anda yanıt verdiğini ortaya koyar; önemsediğiniz paketi alt SA'nın taşıyıp taşımadığı hakkında hiçbir şey söylemez. Bir kesintinin yakınındaki her uyarıyı onun nedeni saymak, bir seçici sorununun protokol hatası olarak teşhis edilmesinin yoludur. En çok karıştırılan üç gözlem vardır ve bunlar üç farklı soruya yanıt verir. Bunları zaman damgasına göre okumadan önce ilişki ve amaca göre okuyun.
Her gözlemin kanıtladığı şey
Tablo, her gözlemin neyi tespit ettiğini yalnızca neye eşlik ettiğinden ayırır.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Üçünden hiçbiri kendi başına bir hata değildir. Her biri ancak hata ayıkladığınız akışın yanında ilginç olur ve belirli bir akışa bağlanamayan satır kanıt değil bağlamdır.
Canlılık, veri sağlığı değildir
DPD, INFORMATIONAL değişimi olarak çalışır; IKE daemonları arasında bir denetim düzlemi konuşmasıdır. Bir yanıt, eşin IKE sürecinin erişilebilir ve yanıt vermeye istekli olduğunu kanıtlar; zaman aşımı ise olmadığını kanıtlar. Hiçbir sonuç alt SA'yı, seçicileri, iletim yolunu veya uygulamanın yanıtını sınamaz, bu nedenle takılmış bir aktarımın yanındaki sağlıklı DPD çelişki değil tutarlı bir resimdir.
Bu yüzden canlılık satırları, günlüğün en üstünde ne kadar güven verici görünseler de veri düzlemi biletinin en az yararlı parçasıdır.
Dolgu bildirimi dolgu hakkında bir ifadedir
TFC dolgusu bu günlüklerde en çok aşırı okunan satırdır. Trafik akışı gizliliği için dolgunun o alt SA için kabul edilmeyeceğini söyler; bu, ESP korumasının reddi değil isteğe bağlı bir dolgu özelliği hakkında bir ifadedir. Onu bir arızanın yakınında bulmak genellikle söz kalabalığının rastlantısıdır ve dolguyu açıp kapatmak seçici kapsamında hiçbir şeyi değiştirmez.
IKEv2 belirtimi hem bildirimi hem de seçici görüşmesini tanımlar ve bir uygulamanın uyarı etiketi iki durumda da protokolün anlamının yerini almaz.
Daraltma daha sessizdir ve önemli olma olasılığı daha yüksektir
Bir yanıtlayıcı, sunulan seçicilerin bir alt kümesini kabul edebilir ve kabul edilen küme birkaç girişe yayılarak yazdırılabilir; biri bağlantı noktasına göre nitelendirilmiş, diğeri tüm bağlantı noktalarını kapsar. Yalnızca ilk bağlantı noktasına göre nitelendirilmiş satırı okumak kabul edileni olduğundan az gösterir; yalnızca geniş satırı okumak ise olduğundan çok gösterir. Yazdırılan öneriyi yüklü politikayla karşılaştırın, çünkü öneri eşlerin söylediği, politika ise çekirdeğin eşleştireceği şeydir. Uyuşmadıklarında tünel vardır ama trafik yoktur; bu klasik aralıklı şikâyettir. Eşleri karşılaştırırken yerel ve uzak bakış açısını ters çevirin, çünkü her tarafın yereli diğerinin uzağıdır.
Bağlantı noktası kısıtlaması olan ana bilgisayara özgü girişler iki kez okumaya değer, çünkü ICMP'yi veya ikinci bir bağlantı noktasını dışlayıp ağ geçidine giden ping'i çalışır bırakanlar onlardır.
Başarısız akış için tek bir kayıt oluşturun
Kaynağı, hedefi, adres ailesini, protokolü ve bağlantı noktasını koruma kararında göründüğü gibi kaydedin, kasıtlı herhangi bir çeviri dahil. Bunlar bir seçiciyle eşleşmesi gereken değerlerdir ve aynı zamanda bilet üçüncü bir el çiftine ulaştığında insanların bellekten yeniden yazdığı değerlerdir.
Ardından alt SA'yı ve yönlü sayaçlarını belirleyin: swanctl --list-sas bir strongSwan ana bilgisayarında ilişki özetini verir ve ip -s xfrm state sayaçları verir. Bunları sistem boştayken değil, yeni izin verilmiş bir isteğin ardından okuyun. Giden trafikte artış olmaması seçime veya yerel yola işaret eder; karşılık gelen gelen trafik olmadan giden trafik eşe, onun iletimine veya yanıtlarına işaret eder.
Tamamlanmış bir uygulama alışverişi sayaçların her birinden üstündür, bu yüzden test tünel göstergesinde değil uygulamada bitmelidir.
Düzeltmeyi ardından seçin
Ancak o kayıt var olduğunda seçilecek bir düzeltme vardır: kabul edilen seçiciler, yol, filtreleme, eş uygulaması veya artık gösterdiğiniz bir sınır. Eşi sıfırlamak birkaç durumu birden değiştirir ve hangisinin yanlış olduğunu açıklamadan trafiği çoğu zaman geri getirir, bu yüzden kesinti geri döner. Çekirdek durum dökümlerini de biletlerin dışında tutun, çünkü anahtar içerebilirler ve dar özet yardım etmesi gereken herkese yeter.
Kayıt ilk teorinizle çeliştiğinde kayda inanın ve teoriyi yeniden yazın; bu alışkanlık burada tartışılan herhangi bir tek günlük satırından daha değerlidir.