IPsec ichki SA ko'tarilgan, lekin paket hisoblagichlari nolda qolmoqda

Siz tunnelni ko'tardingiz, qayta kalitlash taymeri sanab tushmoqda, lekin ikkala yo'nalish ham hanuz nol paket ko'rsatmoqda. Bu ikki sonda sherik sizning tunnelingizni rad etgani haqida hech narsa yo'q: hisoblagichlari bo'sh o'rnatilgan CHILD SA hech narsa mos kelmagan assotsiatsiyaning oddiy holatidir. Vazifa paket mos kelishi kerakligini isbotlash, so'ngra u selektorlar tasvirlagan yo'ldan qayerda chiqib ketganini topishdir. Buni bir marta, tartib bilan bajaring va urinishlar orasida so'rovni bir xil saqlang.

Nol hisoblagich aslida nimani isbotlaydi

CHILD SA — bu selektorlar jufti va o diapazonlarga tushadigan trafikni shifrlaydigan kalitlar hamda SPI. Uni o'rnatish ikki sherik o'sha diapazonlar va olingan kalitlar bo'yicha kelishganini bildiradi xolos; yadro bitta ham paket kelmasa ham uni soatlab ushlab turadi. Shuning uchun savol hech qachon tunnel bor-yo'qligi emas, balki sinovingiz yuborgan biron paket ikki sherik kelishgan diapazonlarga tushdimi-yo'qmi. Agar hech biri tushmasa, hisoblagichlar nolda qoladi va assotsiatsiya umrining oxirida foydalanilmay tugaydi.

Bu farq birinchi navbatda nimani tekshirishingizni o'zgartiradi. Rad etilgan taklif, autentifikatsiya xatosi yoki o'layotgan IKE SA hammasi jurnalda yoki SA ro'yxatida ko'rinadi, jim nol sifatida emas. Toza kelishib, keyin bo'sh qolgan tunnel esa aksincha moslik, marshrutlash yoki sinov trafigi manbasiga ishora qiladi.

Yuborishdan oldin tasvirlab bera oladigan oqimni yuboring

Himoyalangan subnet ichidan manzil tanlang va unga yangi ulanish oching; bir soat oldin yuklagan sahifa keshdan kelishi mumkin, keshdagi javob esa tunnelga hech qachon tegmaydi. So'ngra so'rov hali faraziy bo'lganda to'rt qiymatni yozib qo'ying: ilova bog'laydigan manba manzili, manzil, manzil oilasi va siz kuzatayotgan ichki SA nomi yoki selektorlar jufti. Aynan shu yozuv tekis hisoblagichni tekshirsa bo'ladigan da'voga aylantiradi.

Manba manzili odamlar tashlab ketadigan qiymat va sinovni eng ko'p buzadigan ham shu. Simli manzil, Wi-Fi manzili va tunnel manziliga ega noutbuk marshrut qidiruviga qarab ulardan istalganini bog'lashi mumkin, faqat bittasi kelishilgan diapazon ichida bo'lishi mumkin. Manbani qotirish imkonini beradigan asbobdan foydalaning, masalan ping -I 10.1.0.5 10.2.0.9 yoki curl --interface 10.1.0.5, shunda paket jimgina boshqa manzilni tanlay olmaydi. Qotirilgan urinish hisoblagichlarni qimirlatib, qotirilmagani qimirlatmasa, siz IPsec emas, marshrutlash muammosini topdingiz.

Qaysi raqamlarni o'qish kerak va ular qayerda yashaydi

Linux da ip -s xfrm state har bir assotsiatsiyani lifetime current: satri bilan chop etadi, uning bayt va paket jamlanmasi faqat shu SA ga tegishli, keyin qayta ijro va xatolar sanog'i uchun stats: satri keladi. strongSwan sherigida swanctl --list-sas o'rnatilgan har bir ichki SA uchun bitta in satri va bitta out satrini chop etadi, har biri bayt va paket sanog'i bilan tugaydi; eski stroke asboblari o'sha juftni bytes_i va bytes_o deb ataydi. Ikki yo'nalishni alohida o'qing, chunki tekis qolgani topilma hisoblanadi. Ularni qo'shish aynan siz izlayotgan assimetriyani yashiradi.

Ikkala ko'rinish ham assotsiatsiya bo'yicha, shuning uchun qayta kalitlash yangi SPI juftini o'rnatadi va boshlang'ich chizig'ingiz hech narsa buzilmasdan nolga qaytadi. Qayta kalitlash taymeri ishga tushishidan oldin kuzatayotgan SPI ni yozib qo'ying, aks holda yangi SA ni eski raqam bilan solishtirasiz. Chiqish o'sib, kirish tekis qolsa, selektor mos keldi, ammo javob hech qachon qaytmadi, bu esa tekshiruvni sherikning yo'naltirishiga va uning o'z siyosatiga o'tkazadi. strongSwan ning IKEv2 konfiguratsiya hujjati ichki SA ning hayot tsiklini va o'sha raqamlar ortidagi qayta kalitlash vaqtini qamrab oladi.

Kuzatuv nuqtasi paket manbasidan alohida o'zgaruvchi. Uskuna offloading assotsiatsiya hisoblagichlarini oshirishi mumkin, interfeysdagi dasturiy ushlash esa hech narsa ko'rsatmaydi, chunki offloading qilingan paketlar ushlash o'tirgan ilgakni chetlab o'tadi, kirish ham xuddi shunday chetlashishi mumkin. Ikkalasi kelishmasa, biror narsa mos keldimi-yo'qmi degan savolga hisoblagichlar bilan, paket qanday ko'ringaniga esa ushlash bilan javob bering.

Marshrut, selektorlar va paket qayerda tug'ilgan

Uch narsani yonma-yon solishtiring: yadro manzilingiz uchun tanlagan marshrut, trafikni tunnelga yo'naltiruvchi siyosat va ichki SA kelishgan selektorlar jufti. ip route get 10.2.0.9 from 10.1.0.5 yadro ishlatadigan interfeys va manbani nomlaydi, bu ko'pincha siz o'ylagan juft emas. ip xfrm policy mahalliy o'rnatilgan shablonlar va selektorlarni ko'rsatadi, swanctl --list-sas esa sherik nimaga rozi bo'lganini ko'rsatadi. Paketni jismoniy interfeys orqali chiqaradigan qidiruv siyosatga umuman yetib bormaydi, shuning uchun hisoblagichlar qimirlay olmaydi.

Mos kelmasliklar hisoblagichdan bir xil ko'rinadigan bir necha shaklda keladi. IPv4 selektoridan tashqaridagi IPv6 manzil, noto'g'ri subnetdan manba manzili va ichki SA dan torroq siyosat hammasi bir xil nolni beradi. Eng tor sababni birinchi tuzating, chunki faqat raqamni siljitish uchun selektorni kengaytirish tunnel nimani himoya qilishini o'zgartiradi.

So'ngra paketning manbai bor, bu shlyuz o'z operatoriga qo'yadigan tuzoq. Shlyuz o'zi yaratadigan trafik chiqish siyosati bilan solishtiriladi, mijoz uchun uzatadigan paket esa yo'naltirish siyosati bilan solishtiriladi, shuning uchun qutidan chiqqan ping hech bir mijoz bormaydigan yo'lda muvaffaqiyatli bo'lishi mumkin.

Bitta qaytariladigan o'zgarish va ko'rikdan o'tadigan hisobot

Bitta elementni o'zgartiring, o'sha so'rovni takrorlang va o'sha hisoblagichlarni o'qing. Barcha xavfsizlik devori qoidalarini tozalash yoki barcha selektorlarni biryo'la almashtirish raqamni siljitadi va nima uchunligini aytgan dalillarni yo'q qiladi. Ikkinchi urinish hali nol ko'rsatsa, siz tushdan keyinni behuda o'tkazish o'rniga bitta gipotezani chiqarib tashladingiz.

Topilmani boshqa odam takrorlay oladigan shaklda yozing: ichki SA nomi, qabul qilingan diapazonlar, siz qotirgan manba, sinab ko'rgan manzil, nolda qolgan yo'nalish va o'qiyotgan SPI. O'sha gap hech kim ishlatmagan assotsiatsiyani trafikni qabul qilib, uni rad etgan uzoq ilovadan ajratadi. O'zgarish hisoblagichlarni qimirlatmasa, uni qaytaring va yozuvni saqlang; keyingi odam siz to'xtagan joydan boshlaydi. Bularning hech biri uchun tunnelda hech narsani qayta qurish kerak bo'lmadi va konfiguratsiyaga tegishdan oldin moslikni tekshirishning ma'nosi ham shu.