IKEv2 ölü eş algılama uygulamanızı test etmez

IKEv2 canlılık denetimi tek bir soru sorar: diğer eş korumalı kontrol ilişkisinde hâlâ yanıt veriyor mu. İç bir uygulamanın sağlıklı olup olmadığını, ağ geçidinin arkasında bir yol bulunup bulunmadığını veya gezinmenin hızlı hissettirip hissettirmediğini ölçmez. Tünelin arkasındaki her yararlı şey başarısız olurken denetim geçebilir.

Bir zamanlayıcıyı değiştirmeden önce iki tür kanıtı ayrı ayrı okuyun.

Canlılık denetimi gerçekte neyi sorar

Bir canlılık alışverişi kurulmuş IKE güvenlik ilişkisi içinde gönderilir ve yapılandırılmış bir pencere içinde yanıt bekler. Başarı şu anlama gelir: eşin IKE uygulaması hâlâ orada ve hâlâ konuşmaya istekli. Çocuk güvenlik ilişkileri hakkında, yani trafiği taşıyanlar hakkında hiçbir şey söylemez; ağ geçidinin ötesindeki yönlendirme hakkında hiçbir şey ve tüneli açtığınız hizmet hakkında hiçbir şey söylemez. Bunlar üç ayrı soru ve üç ayrı başarısızlık biçimidir.

Bu ayrım, bir oturum sessizleştiğinde nereye bakacağınızı belirler. Veri yolu bozukken yanıt vermeye devam eden eş, ilkeye, yönlendirmeye veya alt akıştaki bir hizmete işaret eder. Yanıt vermeyi durduran eş, erişilebilirliğe veya uzak ucun kendi durumuna işaret eder.

Güvenlik ilişkilerini tarayıcıdan önce okuyun

Daemon'a sorduğunuzda kontrol durumu ve veri durumu ayrı ayrı listelenir ve sayaçlar herhangi bir şeyin denendiğini söyler. Hiç kurulmamış bir çocuk ilişkisi, kurulup sonra paket geçirmeyi bırakan bir ilişkiye hiç benzemez, gerçi ikisi de aynı kullanıcı şikâyetini üretir.

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

Durum adlarını bilete aynen yazın, şikâyet anındaki sayaçlarla birlikte. Tünel çöktü gibi bir açıklama iki ilişkiden hangisinin sona erdiğini gizler ve genellikle tutmaya değer tek gerçek budur.

Yol arızası tam olarak ölü eş gibi görünür

Ağ geçidi, özel bir sunucu çevrimdışıyken, iletilen bir yol eksikken veya iç ad çözümlemesi tamamen başarısızken kontrol alışverişlerine yanıt verebilir. İstemci açısından bunların her biri, oturum ayakta ve hedef ayakta değil gibi görünür. Dönüş yolunu gidiş yolu kadar dikkatle denetleyin, çünkü uzak taraftaki asimetrik yönlendirme yalnızca bir yönde sessizlik üretir.

Tünelin ayakta olup olmadığını test etmek yerine amaçlanan uygulamayı doğrudan test edin ve denediği adresi adlandırın. Ağ geçidine ping, ağ geçidinin yanıt verdiğini kanıtlar; uygulamanın yanıt verdiğini hiç kanıtlamadı. Uygulamanın denediği tam adresi kaydedin. Bu dize daha sonra aramayı daraltır ve biletin genellikle atladığı tek gerçek budur.

Zamanlayıcıları tanıdan uzak tutun

Algılama aralığını kısaltmak bir performans değişikliği değildir ve kapasite eklemez. Paket kaybı altında bir arızanın ne kadar hızlı tanındığını değiştirir; bu da hiçbir şeyi iyileştirmeden belirtiyi farklı gösterebilir. Önce arızanın gerçek zamanını kaydedin, sonra toleransın gerçekten sahip olduğunuz bağlantı için yanlış olup olmadığına karar verin.

NAT eşleme yenilemeleri aynı kategoriye girer. Çevrilmiş bir yolu kullanılabilir tutarlar ve uzak uygulamanın çalıştığının kanıtı değildirler.

Eksiksiz bir kurtarma ilkesi, bir eş ölü ilan edildiğinde istemcinin ne yapması gerektiğini söyler: yeniden başlat, kapat veya tut, ve bu olurken diğer trafiğin ne yapabileceğini. Bu olmadan aynı olay her çeyrekte sıfırdan yeniden teşhis edilir.