Yinelenen IKE paketleri: eksik geçişi bulun

Günlük aynı IKE isteğini iki kez gösteriyor, biri mobil bağlantıyı işaret ediyor ve kayıt bir tahminle kapanıyor. O tahmin efsanedir: yinelenen paket tek bir alışveriş hakkında gözlemdir, bağlantının tanısı değil. Yeniden iletim kendi kuralları olan normal bir davranıştır ve yanıt yavaş olduğunda sağlıklı yollarda da görünür. Bir arayüzü suçlamadan önce yanıtı izleyin.

Efsane: yinelenen istek tek bir bağlantıda kayıp olduğunu kanıtlar

İki farklı şey kopya üretir ve ikisi de suçluyu adlandırmaz. İstekte bulunan yanıt alamadığı için isteği yineleyebilir ya da yakalama noktası, yığına nerede bağlı olduğu nedeniyle aynı paketi iki kez gösterebilir. Aynı ana bilgisayarda girişi ve çıkışı gören bir musluk, bir paketi seve seve iki olarak kaydeder ve o günlüğü okuyan operatörün alışveriş tanımlayıcıları olmadan farkı ayırt etme yolu yoktur. İki seçenekten hangisini elinizde tuttuğunuzu söyleyene kadar kopyayı zamanlayıcı olayı olarak ele alın.

İki yukarı bağlantı kafa karışıklığını iyileştirmek yerine kötüleştirir. Tek bir günlük satırı bir arayüzü adlandırır, oysa yanıt diğerinden çıkmış olabilir, bu yüzden mesajdaki arayüz paketin nerede görüldüğünü anlatır, konuşmanın biçimini değil. Bu yüzden ilk soru hangi bağlantının arızalı olduğu değil, hangi alışverişe baktığınızdır.

Yeniden iletim size gerçekte ne söyler

IKEv2'de yeniden iletim şöyle çalışır: yanıt gelmediğinde istekte bulunan isteği yineler ve yanıtlayan yeni bir yanıt hesaplamak yerine önbelleğe aldığı yanıtı yeniden gönderebilir. Mesaj tanımlayıcıları o alışverişe aittir ve aynı tanımlayıcıyla yinelenen isteğin yeni bir deneme değil, çalışan protokol olarak tanınmasını sağlayan budur. İlk deneme ilişkilendirme için genellikle kaynak adresinden veya başlatan SPI'sinden fazlasına ihtiyaç duyar, bu yüzden platformun kendi alışveriş kaydı bir paket listesinden daha iyidir. IKEv1 farklı tanımlayıcılarla farklı kurallar izler ve yinelenen ilk paketle ilgili satıcı uyarısı tüm sürümlerde aynı anlama gelmez.

Yani yeniden iletim zaman damgası bir zamanlayıcının dolduğunu söyler. Hangi atlamanın yavaş olduğunu söylemez ve kesinlikle operatörün suçlu olduğunu söylemez. Bunlar ayrı iddialardır ve kayıtta yalnızca ikincisi işe yarar.

Pratik sonuç, bir sonuca varmadan önce alışverişi kaydetmektir. Yerel alım adresini, politikanın seçtiği yanıt yolunu, eş demetini ve alışveriş tanımlayıcılarını tek bir yere yazın, çünkü kayıt daha sonra okunduğunda her biri farklı bir soruyu yanıtlar.

Tek bir zincir olarak dört gözlem noktası

Alışverişi dört ayrı bakılacak yer değil, zincirin dört halkası olarak düşünün. Halka kanıt taşır ya da bilinmez kalır ve zincir yalnızca kaydedilmiş en zayıf halkası kadar bilgilendiricidir. Aşağıdaki tablo envanterdir: her konum neyi saptayabilir ve neyi dokunulmamış bırakır.

Zinciri yalnızca erişiminiz olan yerde doldurun ve geri kalanını çıkarım yapmak yerine bilinmiyor olarak işaretleyin. Tek bir makinede paket kaydeden bir kanca, uzak makinenin ne aldığı hakkında hiçbir şey söylemez ve bir isteğin görüldüğünü yazan günlük satırı, bir yanıtın hiç çıktığının kanıtı değildir. Dürüst boşluklar, tahminlerle inşa edilmiş eksiksiz görünen bir kayıttan daha yararlıdır.

İlk eksik geçişi bulun

Zinciri başlatan taraftan dışa doğru yürüyün ve kanıtı olmayan ilk halkada durun. Geçit isteği hiç kaydetmiyorsa arıza ondan önceki yoldadır. Geçit aynı isteği tekrar tekrar kaydederken istemci hiç yanıt kaydetmiyorsa şüpheli olan dönüş yönüdür: kaynak adres, çeviri ve denetlediğiniz her sınırda filtreleme. Yanıt gelip istemci yine de ilerlemiyorsa soru taşımayı bırakıp politika veya durum olmuştur.

Karşılaştırırken eşi ve protokolü sabit tutun ve gecikme, kayıp, politika ve durumun her birinin farklı bir zaman çizelgesi ürettiğini unutmayın. Mobil ağ otomatik olarak neden değildir ve sabit hat her gereksinim için otomatik olarak yeterince güvenilir değildir. Alışveriş canlıyken iki yönü de yakalayın:

tcpdump -ni any -vv 'udp port 500 or udp port 4500'

Erişim uzak uçtan önce kesilirse, kayıt nerede kesildiğini söylüyorsa yine de yardımcı olur. Yalnızca başlatan üzerinde yakalama, bir isteğin çıktığını ve yanıtın gelmediğini gösterebilir; bu, arızayı o kancadan sonraki her şeye daraltır, hangi atlamanın onu düşürdüğünü bildiğini iddia etmeden. Uzak halkaları bilinmiyor olarak işaretleyin ve erişimi olan bir sonraki kişinin onları doldurmasına izin verin. Böyle yazıldığında kayıt dürüst kalır ve yine de kısa olur.

Herhangi bir şeyi değiştirmeden önce karşılaştırın. Aynı isteği aynı eşe aynı protokolle yinelemek değişkenleri sayılabilir tutar; yakalamalar arasındaki sıfırlama, anahtar yenileme veya politika düzenlemesi ise karşılaştırmayı yok eder. Değişiklik kaçınılmazsa hemen ardından yeniden yakalayın, böylece önce ve sonra hâlâ aynı alışverişi tanımlasın.

Yararlı bir rapor ne söyler

Harekete değer bir rapor, bir isteği yanıtıyla eşleştirir ve arkasında kanıt bulunmayan ilk adımı adlandırır. O cümle bir hafta sonra orada olmayan bir mühendisin okumasına dayanır ve sıradaki kişiye şüpheli yerine bir başlangıç noktası verir.

Yalnızca bir yeniden iletim teorisini sınamak için kimlik denetimlerini asla zayıflatmayın veya izin verilen protokol kümesini genişletmeyin. Herhangi bir sıfırlamadan önce özgün paketleri ve olay kayıtlarını saklayın, çünkü sıfırlama tam olarak toplamak üzere olduğunuz malzemeyi yok eder ve alışverişin nerede tıkandığını gösteren zamanlamayı siler.

Efsane, bir kopyanın operatörün suçlu olduğunu kanıtladığıdır. Gerçek, bir kopyanın bir zamanlayıcının dolduğunu kanıtladığıdır ve yanıt yanıt yolunda yaşar.