Linux IPsec离奇事件

最新推荐文章于 2023-02-17 16:56:54 发布
VIP文章 最新推荐文章于 2023-02-17 16:56:54 发布
阅读量359 收藏
点赞数
分类专栏： 小米运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/pengzhouzhou/article/details/84861405
版权

本文通过复盘排查IPSec故障的整体过程，揭示分析故障的方法，以及通过该故障学习相关知识。

上篇文章回顾：被抛弃的tcp_recycle

由于业务需要，我们在海外的某些节点上搭建了VPN，方便海外节点之间的数据交互，某天我们在两个新节点之间搭建了一条新的VPN，上线之后Ping、traceroute测试无异常，观察已经有流量通过，监控指标等一切正常。但是过了半个小时后，业务反馈两个新节点之间网络不通，发现问题后紧急上线回退了配置。然后事后线下回测，发现通过重启IPsec 进程，能重现时通时不通的现象。

接下来重现复盘一下当时的配置和场景，以及解释该问题的根因。

环境简述

最低0.47元/天 解锁文章
小米技术
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
ipsec.zip_Linux ipsec_ipsec
09-24
How to configure ipsec on linux (ubuntu).
SWAN之ikev2协议host2host-transport-nat配置测试
redwingz的博客
11-07 633
本测试主要说明在NAT网关moon之后的两个VPN客户端（alice和venus）使用传输模式连接外部VPN网关（sun）时的问题。由于sun网关上的安全策略冲突，导致后者的连接将替换前者的连接。另外，当alice建立连接之后，如果venus不进行连接的建立，而执行ping网关sun的操作，将没有回复，原因是此报文匹配sun网关的加密策略（alice所建立），但是报文并没有加密，被丢弃（文件/pr...
ip xfrm配置nat穿越
xingyeping的博客
05-09 6041
环境：Linux CentOS4.5.3-1.el7.elrepo.x86_64 VMWare虚拟机VM1--VM2，两个口直连。VM1：192.168.233.180；VM2:192.168.233.190. 正常配置一个非NAT穿越报文封装的IPsec隧道，然后使用ping命令测试，没有问题，如下配置： ip xfrm state add src 192.1
安卓手机的IPSec /PPTP/L2TP连接
热门推荐
Lin_ylcsxh_045的博客
02-17 2万+
安卓手机选择IKEv2/IPsec MSCHAPv2；IKEv2/IPsec PSK； IKEv2/IPsec RSA；PPTP；L2TP/IPsec PSK； L2TP/IPsec RSA； IPsec Xauth PSK； IPsec Xauth RSA； IPsec Hybrid RSA途径
ipsec-tools安装教程
weixin_34367845的博客
05-11 1584
ipsec-tools最新版本为0.8.2，此处以0.7.3版本为例说明安装和使用过程。可参考ipsec-howto。 安装步骤 ipsec-tools依赖于linux2.6版本内核，在安装ipsec-tools前需编译安装linux kernel 2.6，此处以2.6.34.1为例。 内核编译步骤 下载 linux-2.6.34.1.tar.bz2 将文件移...
Strongswan5.3.3与Android5.0.2（小米） 主模式的对接L2TPoverIPsec
xingyeping的博客
12-17 4600
ipsec.conf： # /etc/ipsec.conf - strongSwan IPsec configuration file config setup conn %default     ikelifetime=60m     keylife=20m     rekeymargin=3m     keyingtries=1     keyexchange=
Linux　内核IPSec（xfrm）协议栈源码分析
06-21
很清楚的分析了一个数据包如何通过查询路由进入内核ipsec协议栈的处理、Linux 内核ipsec协议栈详细的加解密流程以及加解密完后如何将数据包发送出去。 文档中前半部分主要介绍一些关键的数据结构，及其相互之间的...
Linux’s IPsec implementation.pdf
04-21
描述IPsec 在Linux下的实现及背景内容，包含Linux下IPsec工具，内核IPsec支持等内容。
Linux下IPsec的实现.pdf
09-07
Linux下IPsec的实现.pdf
freeswan.rar_freeswan_ipsec linux
09-23
做ipsec的朋友可以共同参阅下，从原始的freeswan开始研究
ip monitor
06-07
Jun 08 00:02:36 localhost.localdomain systemd[1]: Starting firewalld - dynamic firewall daemon... Jun 08 00:02:42 localhost.localdomain systemd[1]: Started firewalld - dynamic firewall daemon. Jun 08 00:02:46 localhost.localdomain firewalld[854]: WARNING: ICMP type 'beyond-scope' is not supported by the kernel for ipv6. Jun 08 00:02:46 localhost.localdomain firewalld[854]: WARNING: beyond-scope: INVALID_ICMPTYPE: No supported ICMP type., ignoring for run-time. Jun 08 00:02:46 localhost.localdomain firewalld[854]: WARNING: ICMP type 'failed-policy' is not supported by the kernel for ipv6. Jun 08 00:02:46 localhost.localdomain firewalld[854]: WARNING: failed-policy: INVALID_ICMPTYPE: No supported ICMP type., ignoring for run-time. Jun 08 00:02:46 localhost.localdomain firewalld[854]: WARNING: ICMP type 'reject-route' is not supported by the kernel for ipv6. Jun 08 00:02:46 localhost.localdomain firewalld[854]: WARNING: reject-route: INVALID_ICMPTYPE: No supported ICMP type., ignoring for run-time.
OpenSwan和华为AR2240对接IPSec隧道
搬砖小胖子
08-06 1539
拓扑如上图所示，AWS端建立一个VPC(CIDR:10.101.0.0/16),包含两个子网，一个可以上互联网的Public子网10.101.1.0/24以及私有子网Private 10.101.3.0/24,在公有子网上会配置一台OpenSwan实例与公司的华为AR2240设备做VPN对接。 OpenSwan的EIP地址为:54.223.26.123 子网：10.101.1.0/24 华为设备...
IPsec IKEv1中预共享密钥下使用标识符进行表示出现的问题
qq_47529104的博客
05-04 6511
问题描述 如图所示，在IKEv1的主模式下使用标识符的方式而不是使用IP地址的方式去标识IPsec的双端就会导致主模式无法协商完成的情况，其主要原因就是主模式无法根据第一次数据报的交互中找寻到相关的预共享密钥用于后续的密钥生成，所以这就是主模式无法协商成功的原因以及野蛮模式出现的原因。 当使用IKEv2时 和上面的场景一模一样的配置，当我将版本切换成IKEv2后就可以进行正常的交互。 ...
手机的IPSec Xauth PSK
zdl244的博客
11-30 6409
手机的IPSec Xauth PSK [root@sm ~]# yum install epel-release -y      #安装第三方yum源 [root@sm ~]# yum install strongswan -y [root@sm ~]# vim /etc/strongswan/ipsec.conf conn %default keyexchange=ikev1 ...
linux XFRM整体框架简单分析
weixin_34026276的博客
10-12 677
author: jonathan本文档的CopyRight归jonathan所有，可自由转载，转载时请保持文档的完整性。/*----------------------------------------------------------------------------------------------------------------------------*/L...
浅谈动态追踪技术
小米云技术
04-18 9482
本文主要介绍了动态追踪技术，并举例说明动态追踪技术的应用。 身为一个SRE，工作中经常会遇到各种奇奇怪怪的服务异常问题。这些问题在staging（测试环境）没有发现，但放到真实的生产环境就会碰到，最关键的是难以复现，某些问题可能是几个月才会复现。 初次碰到可能会手忙脚乱，暴力的解决手段是将机器拉下线，然后开始专家会诊，但是脱离了线上真实环境，没有线上真实流量，某些问题可能不好复现了，这种方...
2018年度小米运维盘点
小米云技术
01-04 7683
元旦假期一眨眼就没了，2018年也嗖的一下就过去了，这一年里发生的大事件你都还记得吗？下面就让小编带你回顾一下过去这一年里小米运维的知识点吧！ 2018年我们推送了很多被读者认可的文章，这些文章涵盖了DPDK LVS、SQL协议、监控等方面的内容，可见跟我们一起成长的童鞋都是技能全面、知识面广阔的最酷工程师。为了帮助大家回顾今年学到的知识点，我们在101篇文章中筛选出年度TOP 9的文章： ...
网络工程师眼中的自动化运维
小米云技术
01-22 7138
本文从一名网工从业者的角度出发，探讨了在企业网运维过程中，网络工程师可以用什么样的工具让网络更加透明高效。 上篇文章回顾：Apache Ranger——Hadoop ACL控制工具                                                       引言 “网络就像wifi，没有故障的时候，就没有人意识到它的存在”，这句话有无数的翻版，但是对于网络...
linux IPSEC
最新发布
08-14
在Linux系统中，我们可以使用StrongSwan来实现IPsec。 在Linux上配置IPsec，首先需要安装StrongSwan软件包。可以通过包管理工具如apt或yum进行安装。 安装完成后，需要进行IPsec的配置。主要的配置文件是/etc/...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值