DPD javoblari IKE hamkorining tirikligini isbotlaydi, ma'lumotlaringiz oqayotganini emas
Hayotlik javoblari, padding bildirishnomasi va toraytirilgan selektorlar uch xil narsani tasvirlaydi. To'xtashda birini ayblashdan oldin ularni alohida o'qing.
IPsec jurnallari oldidagi ilova to'xtab turgan bo'lsa ham hayotlik javoblarini ko'rsatishi mumkin, va ikkala fakt bir vaqtda to'g'ri bo'lishi mumkin. DPD javobi o'sha paytda hamkorning IKE qayta ishlashi javob berganini tasdiqlaydi; u siz uchun muhim bo'lgan paketni bola SA olib yurishini hech aytmaydi. Har qanday ogohlantirishni nosozlik yonida uning sababi deb qabul qilish selektor muammosini protokol xatosi sifatida tashxislash usulidir. Uch kuzatuv eng ko'p chalkashtiriladi va ular uch xil savolga javob beradi. Ularni vaqt belgisi bo'yicha o'qishdan oldin aloqa va maqsad bo'yicha o'qing.
Har bir kuzatuv nimani isbotlaydi
Jadval har bir kuzatuv nimani belgilashini u shunchaki nima bilan birga kelishidan ajratadi.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Uchtasining hech biri o'z-o'zidan xato emas. Har biri faqat siz tuzatayotgan oqim yonida qiziqarli bo'ladi, va aniq oqimga bog'lanib bo'lmaydigan qator dalil emas, kontekstdir.
Hayotlik ma'lumot salomatligi emas
DPD INFORMATIONAL almashinuvi sifatida ishlaydi, ya'ni IKE demonlari o'rtasidagi boshqaruv tekisligi suhbati. Javob hamkorning IKE jarayoni yetib borishini va javob berishga tayyorligini isbotlaydi, vaqt tugashi esa bunday emasligini isbotlaydi. Hech bir natija bola SA, selektorlar, uzatish yo'li yoki ilovaning javobini sinamaydi, shuning uchun to'xtagan uzatish yonidagi sog'lom DPD qarama-qarshilik emas, izchil manzaradir.
Shuning uchun hayotlik qatorlari jurnal tepasida qanchalik taskin bersa ham, ma'lumot tekisligi bileti uchun eng kam foydali qismdir.
Padding bildirishnomasi padding haqidagi bayonotdir
TFC padding bu jurnallarda eng ko'p haddan tashqari o'qiladigan qator. U trafik oqimi maxfiyligi uchun padding o'sha bola SA uchun qabul qilinmasligini aytadi, bu esa ESP himoyasidan voz kechish emas, ixtiyoriy padding funksiyasi haqidagi bayonotdir. Uni nosozlik yonida topish odatda so'z ko'pligining tasodifi, paddingni yoqish yoki o'chirish esa selektor qamrovida hech narsani o'zgartirmaydi.
IKEv2 spetsifikatsiyasi ham bildirishnomani, ham selektorlar muzokarasini belgilaydi va amalga oshirishning ogohlantirish yorlig'i ikkala holatda ham protokol ma'nosini almashtirmaydi.
Toraytirish jimroq va muhim bo'lish ehtimoli yuqori
Javob beruvchi taklif qilingan selektorlarning kichik to'plamini qabul qilishi mumkin va qabul qilingan to'plam bir nechta yozuvlarda chop etilishi mumkin, biri port bo'yicha kvalifikatsiya qilingan, ikkinchisi barcha portlarni qamrab oladi. Faqat birinchi port yozuvini o'qish qabul qilinganni kamaytiradi; faqat keng qatorni o'qish uni oshiradi. Chop etilgan taklifni o'rnatilgan siyosat bilan solishtiring, chunki taklif hamkorlar aytgan narsa, siyosat esa yadro moslashtiradigan narsadir. Ular mos kelmasa, tunnel bor, trafik esa yo'q — bu klassik vaqti-vaqti bilan uchraydigan shikoyat. Hamkorlarni solishtirganda mahalliy va uzoq nuqtai nazarni almashtiring, chunki har bir tomonning mahalliysi boshqasining uzoqidir.
Port cheklovi bo'lgan xostga xos yozuvlar ikki marta o'qishga arziydi, chunki aynan ular ICMP yoki ikkinchi portni chiqarib tashlaydi, shlyuzga ping esa ishlashda davom etadi.
Muvaffaqiyatsiz oqim uchun bitta yozuv tuzing
Manba, manzil, manzil oilasi, protokol va portni himoya qarorida ko'rinadigan tarzda yozib oling, jumladan har qanday qasddan qilingan tarjima. Bu selektorga mos kelishi kerak bo'lgan qiymatlar va bilet uchinchi qo'l juftiga yetganda odamlar xotiradan qayta teradigan qiymatlardir.
Keyin bola SA va uning yo'nalish bo'yicha hisoblagichlarini aniqlang: swanctl --list-sas strongSwan xostida assotsiatsiya xulosasini beradi, ip -s xfrm state esa hisoblagichlarni beradi. Ularni tizim bo'sh turganda emas, yangi ruxsat etilgan so'rovdan keyin o'qing. Chiquvchi trafikning o'sishi yo'qligi tanlovga yoki mahalliy yo'lga ishora qiladi; mos keluvchi kiruvchisiz chiquvchi trafik hamkorga, uning uzatishiga yoki javoblariga ishora qiladi.
Tugallangan ilova almashinuvi har qanday hisoblagichdan ustun turadi, shuning uchun test tunnel ko'rsatkichida emas, ilovada tugashi kerak.
Keyin tuzatishni tanlang
Faqat o'sha yozuv mavjud bo'lgandagina tanlash mumkin bo'lgan tuzatish bor: qabul qilingan selektorlar, marshrut, filtrlash, hamkorning amalga oshirilishi yoki hozir ko'rsatgan chegara. Hamkorni qayta sozlash bir vaqtda bir nechta holatni o'zgartiradi va ko'pincha qaysi biri xato bo'lganini tushuntirmasdan trafikni tiklaydi, shuning uchun nosozlik qaytadi. Yadro holati dump'larini ham biletlardan tashqarida saqlang, chunki ularda kalitlar bo'lishi mumkin va qisqa xulosa yordam berishi kerak bo'lgan har kimga yetarli.
Yozuv birinchi nazariyangizga zid bo'lsa, yozuvga ishoning va nazariyani qayta yozing; bu odat bu yerda muhokama qilingan har qanday bitta jurnal qatoridan qimmatroq.