IKEv2 fragmentatsiyasini sertifikat zanjiri muammosidan ajratish

Tunnel ofis tarmog'ida ishlagan va uyda to'xtab qoladi, jurnal esa birinchi almashinuv boshqa narsa bo'lishidan oldin tugallanganini ko'rsatadi. Bu naqsh ishonch ma'lumotlariga emas, autentifikatsiya almashinuviga ishora qiladi: sertifikat zanjiri bu xabarni avvalgisidan ancha katta qiladi va katta datagramlarni yoqtirmaydigan yo'l uni jimgina tashlab yuboradi. Ikki xil fragmentatsiya mexanizmi ishtirok etadi va qaysi birini ko'rayotganingizni bilish tuzatishni belgilaydi.

Ikki fragmentatsiya mexanizmi, bitta alomat

IKEv2 ning o'z fragmentatsiya kengaytmasi bor, u RFC 7383 da belgilangan va himoyalangan IKE xabarlarini kichikroq IKE xabarlariga bo'ladi. Tomonlar bu imkoniyat bo'yicha muzokara qiladi va xabar IP qatlami emas, IKE tatbiqoti tomonidan qayta yig'iladi.

Oddiy IP fragmentatsiyasi boshqa nosozlik rejimiga ega boshqa mexanizmdir. Tomonlar orasidagi marshrutizator katta datagramni bo'laklaydi yoki uni tashlab, jo'natuvchiga hech qachon yetib bormasligi mumkin bo'lgan ICMP xabarini qaytaradi. Ba'zi tarmoqlar bo'laklarni jimgina tashlaydi, ba'zi oraliq qurilmalar birinchi bo'lakni boshqaradi, qolganlarini emas. Ilova nuqtai nazaridan uch holat ham bir xil ko'rinadi.

NAT orqali o'tish uchinchi o'zgaruvchini qo'shadi, chunki unda ESP UDP ichiga o'raladi va tashqi paket kattalashadi, shu bilan birga 4500 portdagi oddiy UDP trafikka o'xshaydi. UDP ni yaxshi o'tkazadigan yo'l ham endi sig'maydigan datagramda muvaffaqiyatsiz bo'lishi mumkin.

Muvaffaqiyatsiz bo'lgan almashinuvni o'qing

Xatoni emas, o'tishni qidiring. Birinchi almashinuv yuborilgani va javob olgani, keyin hech narsa yo'qligini ko'rsatadigan jurnal sizga keyingi xabar hech qachon tugamaganini aytadi. Jurnal darajasini vaqtincha oshiring va ikkala tomonda bildirilgan o'lchamlarni solishtiring.

Aniqlashmoqchi bo'lganingiz — javob beruvchi so'rovni umuman ko'rganmi. Agar boshlovchi biror narsa yuborgan bo'lsa-yu, javob beruvchida bu haqda hech qanday yozuv bo'lmasa, muammo yetkazib berishda. Agar javob beruvchi so'rovni tahlil qilib rad etgan bo'lsa, muammo sertifikatning o'zida, fragmentatsiya esa chalg'itish. Bu farq bir sahifa timeout xabarlaridan qimmatroq.

Sertifikatni emas, yo'lni o'zgartiring

Xuddi shu mijozni, xuddi shu sertifikatni va xuddi shu konfiguratsiyani boshqa tarmoqdan sinab ko'ring. Mobil hotspot odatda eng arzon ikkinchi yo'l bo'lib, u ofis aloqasidan nomigagina emas, haqiqatan farq qiladi.

Agar qo'l berish ikkinchi yo'lda tugasa, sertifikat zanjiri joyida va o'zgaruvchi birinchi yo'l. Agar ikkalasida ham bir xil muvaffaqiyatsiz bo'lsa, tarmoqlarni sinashni to'xtatib, xabarlarning o'ziga qarang. Shu bitta taqqoslash mumkin bo'lgan tushuntirishlarning taxminan yarmini yo'q qiladi.

Biror narsani tahrirlashdan oldin almashinuvni o'lchang

Zanjir o'lchamini va yo'l o'lchamini oling. Ikkala raqam ham qo'l berish nima yuborishi mumkinligini cheklaydi va ikkalasini o'lchash arzon:

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

Birinchi ikkitasi sertifikatlar soni va fayl o'lchamini beradi, bu autentifikatsiya xabari qanchalik katta bo'lishining oqilona ko'rsatkichi. Ping sinovi shu o'lchamdagi datagram yo'lda omon qolishini bildiradi, interfeys hisoblagichlari esa sizning tomonda bo'laklar tashlanganini ko'rsatadi. Windows da ekvivalent sinov do-not-fragment bayrog'i va aniq foydali yuk o'lchami bilan ping hisoblanadi.

Sinovni pastga qarab muvaffaqiyatli bo'lgunga qadar takrorlang. O'tadigan eng katta o'lcham shu yo'l uchun ish byudjeti bo'lib, u e'lon qilingan har qanday standart qiymatdan foydaliroq.

Haqiqatan buzilgan qatlamni tuzating

Agar yo'l katta datagramlarni tashlasa, ikkala tomonda IKE fragmentatsiyasini yoqing va kengaytma faqat taklif qilinmaganini, muzokara qilinganini tasdiqlang. Agar yo'l IP darajasida bo'laklar bilan yomon muomala qilsa, tuzatish o'sha joyga yoki tashqi interfeys MTU siga tegishli, sertifikat omboriga emas.

Agar zanjir keraksiz uzun bo'lsa, uni tomonga haqiqatan kerak bo'lgan oraliq sertifikatlargacha qisqartiring. Mijoz allaqachon ishonadigan ildizni olib tashlash oqilona xizmat; oraliq sertifikatni olib tashlash unday emas, xabarni kichraytirish uchun tekshiruvni o'chirish esa yetkazib berish muammosini xavfsizlik muammosiga almashtiradi.

Qaysi mexanizmni o'zgartirganingizni va undan keyin qo'l berish qanday ko'ringanini yozib qo'ying. Keyingi hodisa odatda xuddi shu alomat bilan boshqa tarmoqda bo'ladi va aynan yozuv ikki soatni o'n daqiqaga aylantiradi.