IKEv2 parçalanmasını sertifika zinciri sorunundan ayırt etmek

Tünel ofis ağında çalışıyordu ve evde takılıyor, ve günlük ilk değiş tokuşun başka bir şey olmadan önce tamamlandığını gösteriyor. Bu örüntü kimlik bilgilerine değil, kimlik doğrulama değiş tokuşuna işaret eder: bir sertifika zinciri o mesajı öncekinden çok daha büyük yapar ve büyük datagramlardan hoşlanmayan bir yol onu sessizce düşürür. İki farklı parçalama mekanizması devreye girer ve hangisine baktığınızı bilmek düzeltmeyi belirler.

İki parçalama mekanizması, tek belirti

IKEv2'nin RFC 7383 içinde tanımlanan kendi parçalama uzantısı vardır ve korumalı IKE mesajlarını daha küçük IKE mesajlarına böler. Taraflar bu yetenek üzerinde anlaşır ve mesaj IP katmanı yerine IKE uygulaması tarafından yeniden birleştirilir.

Sıradan IP parçalanması farklı bir arıza kipine sahip başka bir mekanizmadır. Taraflar arasındaki yönlendirici büyük bir datagramı parçalar ya da onu düşürüp gönderene hiç ulaşmayabilecek bir ICMP mesajı döndürür. Bazı ağlar parçaları sessizce atar ve bazı ara cihazlar ilk parçayı işler ama geri kalanını işlemez. Uygulama açısından üç durum da aynı görünür.

NAT geçişi üçüncü bir değişken ekler, çünkü o zaman ESP UDP içine sarılır ve dış paket büyürken 4500 portundaki sıradan UDP trafiği gibi görünür. UDP'yi iyi geçiren bir yol, artık sığmayan bir datagramda yine de başarısız olabilir.

Başarısız olan değiş tokuşu okuyun

Hatayı değil, geçişi arayın. İlk değiş tokuşun gönderildiğini ve yanıtlandığını, ardından hiçbir şey olmadığını gösteren bir günlük, size sonraki mesajın hiç tamamlanmadığını söyler. Günlük düzeyini geçici olarak yükseltin ve iki tarafta bildirilen boyutları karşılaştırın.

Kanıtlamak istediğiniz şey, yanıtlayanın isteği görüp görmediğidir. Başlatan bir şey gönderdiyse ve yanıtlayanın buna dair hiçbir kaydı yoksa sorun teslimattadır. Yanıtlayan isteği çözümleyip reddettiyse, sorun sertifikanın kendisindedir ve parçalama dikkat dağıtıcıdır. Bu ayrım bir sayfa zaman aşımı mesajından daha değerlidir.

Sertifikayı değil, yolu değiştirin

Aynı istemciyi, aynı sertifikayı ve aynı yapılandırmayı başka bir ağdan test edin. Mobil erişim noktası genellikle en ucuz ikinci yoldur ve ofis bağlantısından yalnızca ad olarak değil, gerçekten farklıdır.

El sıkışma ikinci yolda tamamlanırsa sertifika zinciri iyidir ve değişken ilk yoldur. İkisinde de aynı şekilde başarısız olursa ağları test etmeyi bırakın ve mesajların kendisine bakın. Bu tek karşılaştırma olası açıklamaların yaklaşık yarısını ortadan kaldırır.

Herhangi bir şeyi düzenlemeden önce değiş tokuşu ölçün

Zincirin boyutunu ve yolun boyutunu alın. Her iki sayı da el sıkışmanın ne gönderebileceğini sınırlar ve ikisini ölçmek ucuzdur:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

İlk ikisi sertifika sayısını ve dosya boyutunu verir; bu, kimlik doğrulama mesajının ne kadar büyük olacağına dair makul bir göstergedir. Ping testi o boyuttaki bir datagramın yolda hayatta kalıp kalmadığını bildirir ve arayüz sayaçları parçaların sizin tarafınızda düşürülüp düşürülmediğini gösterir. Windows'ta eşdeğer test, do-not-fragment bayrağı ve açık yük boyutuyla yapılan bir ping'dir.

Başarılı olana kadar testi aşağı doğru tekrarlayın. Geçen en büyük boyut o yol için çalışma bütçesidir ve yayımlanmış herhangi bir varsayılandan daha kullanışlıdır.

Gerçekten bozuk olan katmanı düzeltin

Yol büyük datagramları düşürüyorsa her iki tarafta IKE parçalanmasını etkinleştirin ve uzantının yalnızca önerilmediğini, müzakere edildiğini doğrulayın. Yol IP düzeyinde parçalara kötü davranıyorsa düzeltme oraya ya da dış arayüzün MTU'suna aittir, sertifika deposuna değil.

Zincir gereksiz yere uzunsa, bir tarafın gerçekten ihtiyaç duyduğu ara sertifikalara kadar kısaltın. İstemcinin zaten güvendiği bir kökü kaldırmak makul bakımdır; bir ara sertifikayı kaldırmak değildir ve bir mesajı küçültmek için doğrulamayı kapatmak teslimat sorununu güvenlik sorunuyla değişir.

Hangi mekanizmayı değiştirdiğinizi ve el sıkışmanın sonrasında nasıl göründüğünü yazın. Bir sonraki olay genellikle aynı belirtiyle başka bir ağda olur ve not, iki saati on dakikaya çeviren şeydir.