IPsec alt SA ayakta ama paket sayaçları sıfırda kalıyor

Tüneli ayağa kaldırdınız, anahtar yenileme zamanlayıcısı geri sayıyor ve her iki yön de hâlâ sıfır paket okuyor. O sayı çiftinde hiçbir şey eşin tünelinizi reddettiğini söylemiyor: sayaçları boş bir kurulu CHILD SA, henüz hiçbir şeyin eşleşmediği bir ilişkinin normal durumudur. İş, bir paketin eşleşmesi gerektiğini kanıtlamak ve ardından seçicilerin tarif ettiği yoldan nerede ayrıldığını bulmaktır. Bunu bir kez, sırayla yapın ve isteği çalıştırmalar arasında aynı tutun.

Sıfır sayaç gerçekte neyi kanıtlar

CHILD SA, bir seçici çifti ve o aralıklara düşen trafiği şifreleyen anahtarlar ile SPI demektir. Onu kurmak yalnızca iki eşin bu aralıklar ve türetilen anahtarlar üzerinde anlaştığı anlamına gelir; çekirdek tek bir paket gelmeden onu saatlerce tutar. Yani soru hiçbir zaman tünelin var olup olmadığı değil, testinizin gönderdiği herhangi bir paketin iki eşin müzakere ettiği aralıklara düşüp düşmediğidir. Hiçbiri düşmediyse sayaçlar sıfırda kalır ve ilişki ömrünün sonunda kullanılmadan sona erer.

Bu ayrım ilk olarak neyi incelediğinizi değiştirir. Reddedilen bir teklif, bir kimlik doğrulama hatası veya ölmekte olan bir IKE SA hepsi günlükte ya da SA listesinde görünür, sessiz bir sıfır olarak değil. Temiz müzakere edip sonra boşta kalan bir tünel bunun yerine eşleşmeye, yönlendirmeye veya test trafiğinin kaynağına işaret eder.

Göndermeden önce tarif edebildiğiniz bir akış gönderin

Korumalı alt ağ içinde bir hedef seçin ve ona yeni bir bağlantı açın; bir saat önce yüklediğiniz bir sayfa önbellekten sunulabilir ve önbellekteki bir yanıt tünele asla dokunmaz. Sonra istek hâlâ varsayımsalken dört değer yazın: uygulamanın bağlayacağı kaynak adres, hedef, adres ailesi ve izlediğiniz alt SA'nın adı veya seçici çifti. O kayıt, düz bir sayacı test edilebilir bir iddiaya dönüştüren şeydir.

Kaynak adres insanların atladığı değerdir ve testi en sık bozan da odur. Kablolu adres, Wi-Fi adresi ve tünel adresi olan bir dizüstü bilgisayar, yol aramasına bağlı olarak bunlardan herhangi birini bağlayabilir ve yalnızca biri müzakere edilen aralığın içinde olabilir. Kaynağı sabitlemenize izin veren bir araç kullanın, örneğin ping -I 10.1.0.5 10.2.0.9 veya curl --interface 10.1.0.5, böylece paket sessizce başka bir adres seçemez. Sabitlenmiş çalıştırma sayaçları hareket ettirip sabitlenmemiş çalıştırma ettirmediğinde, IPsec sorunu değil yönlendirme sorunu bulmuşsunuzdur.

Hangi sayılar okunmalı ve nerede yaşıyorlar

Linux'ta ip -s xfrm state, her ilişkiyi bayt ve paket toplamı yalnızca o SA'ya ait olan bir lifetime current: satırıyla yazdırır, ardından yeniden oynatma ve hata sayımları için bir stats: satırı gelir. Bir strongSwan eşinde swanctl --list-sas, kurulu her alt SA için bir in satırı ve bir out satırı yazdırır, her biri bir bayt ve bir paket sayımıyla biter; eski stroke araçları aynı çifti bytes_i ve bytes_o olarak adlandırır. İki yönü ayrı ayrı okuyun, çünkü düz kalan yön bulgudur. Bunları toplamak tam olarak aradığınız asimetriyi gizler.

Her iki görünüm de ilişki başınadır, bu yüzden anahtar yenileme yeni bir SPI çifti kurar ve başlangıç çizginiz hiçbir şey bozulmadan sıfıra döner. İzlediğiniz SPI'yı anahtar yenileme zamanlayıcısı devreye girmeden önce not edin, yoksa yeni bir SA'yı eski bir sayıyla karşılaştırırsınız. Giden artarken gelen düz kalıyorsa seçici eşleşmiş ama yanıt hiç geri gelmemiştir; bu da soruşturmayı eşin yönlendirmesine ve kendi ilkesine taşır. strongSwan'ın IKEv2 yapılandırma belgeleri, alt SA'nın yaşam döngüsünü ve bu sayıların arkasındaki anahtar yenileme zamanlamasını kapsar.

Gözlem noktası, paketin kaynağından ayrı bir değişkendir. Bir donanım boşaltması ilişkinin sayaçlarını artırırken arayüzdeki yazılım yakalaması hiçbir şey göstermeyebilir, çünkü boşaltılan paketler yakalamanın oturduğu kancayı atlar ve gelen trafik de aynı şekilde sapabilir. İkisi uyuşmadığında, bir şeyin eşleşip eşleşmediğini yanıtlamak için sayaçları, paketin nasıl göründüğünü yanıtlamak için yakalamayı kullanın.

Yol, seçiciler ve paketin doğduğu yer

Üç şeyi yan yana karşılaştırın: çekirdeğin hedefiniz için seçtiği yol, trafiği tünele yönlendiren ilke ve alt SA'nın müzakere ettiği seçici çifti. ip route get 10.2.0.9 from 10.1.0.5 çekirdeğin kullanacağı arayüzü ve kaynağı adlandırır, ki bu genellikle varsaydığınız çift değildir. ip xfrm policy yerel olarak kurulu şablonları ve seçicileri gösterirken swanctl --list-sas eşin neyi kabul ettiğini gösterir. Paketi fiziksel arayüzden dışarı gönderen bir arama ilkeye hiç ulaşmaz, bu yüzden sayaçlar hareket edemez.

Uyuşmazlıklar bir sayaçtan bakıldığında aynı görünen birkaç biçimde gelir. IPv4 seçicisinin dışındaki bir IPv6 hedefi, yanlış alt ağdan gelen bir kaynak adres ve alt SA'dan daha dar bir ilke hepsi aynı sıfırı üretir. Önce en dar nedeni düzeltin, çünkü yalnızca bir sayıyı kaydırmak için seçiciyi genişletmek tünelin neyi koruduğunu değiştirir.

Sonra paketin kaynağı var; bir ağ geçidinin kendi operatörüne kurduğu tuzak. Ağ geçidinin kendisinin ürettiği trafik çıkış ilkesiyle eşleştirilirken, bir istemci için ilettiği paket iletme ilkesiyle eşleştirilir, bu yüzden kutudan gelen bir ping hiçbir istemcinin asla gitmediği bir yolda başarılı olabilir.

Geri alınabilir tek bir değişiklik ve incelemeyi atlatan bir rapor

Tek bir öğeyi değiştirin, aynı isteği yineleyin ve aynı sayaçları okuyun. Tüm güvenlik duvarı kurallarını temizlemek veya tüm seçicileri birden değiştirmek bir sayıyı kaydırır ve size nedenini söyleyen kanıtları yok eder. İkinci çalıştırma hâlâ sıfır gösteriyorsa, öğleden sonrayı boşa harcamak yerine bir hipotezi elemiş olursunuz.

Bulguyu başkasının yeniden üretebileceği bir biçimde yazın: alt SA'nın adı, kabul edilen aralıklar, sabitlediğiniz kaynak, test ettiğiniz hedef, sıfırda kalan yön ve okuduğunuz SPI. O cümle, kimsenin kullanmadığı bir ilişkiyi trafiği alıp reddeden uzak bir uygulamadan ayırır. Sayaçları hareket ettirmediğinde değişikliği geri alın ve kaydı saklayın; sıradaki kişi sizin durduğunuz yerden başlar. Bunların hiçbiri için tünelde hiçbir şeyin yeniden inşa edilmesi gerekmedi ve yapılandırmaya dokunmadan önce eşleşmeyi denetlemenin anlamı da budur.