Jump to content
Как правильно добавить self-test и прочую отладку в тему
Где взять тестовые сборки
Официальное хранилище ПО в виде файлов
  • 1

EIP93: aead decryption failed: auth tag invalid

Sergun4uk

Asked by Sergun4uk,

 Share

Question

Sergun4uk Member

Sergun4uk

Posted
Posted (edited)

Добрый день, в наличии: KN-1010, KN-1810, на обоих версия прошивки 3.6.3. На обоих поднят L2TP сервер, устройства расположены у разных провайдеров. После последнего обновления в журналах начала спамится ошибка :  

EIP93: aead decryption failed: auth tag invalid
Апр 15 23:30:19 kernel
Core::Syslog: last message repeated 1453 times.

Стоит переживать?

Quote

 

ULTRA.jpg

GIGA.jpg

 

 

Edited by Sergun4uk

20 answers to this question

Recommended Posts

  • 0
Илья Картавенко Honored Flooder

Илья Картавенко

Posted
Posted
1 минуту назад, Sergun4uk сказал:

Добрый день, в наличии: KN-1010, KN-1810, на обоих версия прошивки 3.6.3. На обоих поднят L2TP сервер, устройства расположены у разных провайдеров. После последнего обновления в журналах начала спамится ошибка :  


EIP93: aead decryption failed: auth tag invalid
Апр 15 23:30:19 kernel
Core::Syslog: last message repeated 1453 times.

Стоит переживать?

ULTRA.jpg

GIGA.jpg

У меня и на более ранних прошивках подобные сообщения появлялись, что это значит не знаю.  Без L2TP.

  • 0
Sergun4uk Member

Sergun4uk

Posted
  • Author
Posted
6 minutes ago, Le ecureuil said:

А вы с какой версии обновлялись и на какую? Это сообщение еще в 3.3 появилось.

Обновился с 3.5.6. До 3.6.3 этой ошибки не наблюдал, либо она в глаза не бросалась.

  • 0
Sergun4uk Member

Sergun4uk

Posted
  • Author
Posted
6 minutes ago, Илья Картавенко said:

У меня и на более ранних прошивках подобные сообщения появлялись, что это значит не знаю.  Без L2TP.

Насколько я понял - ошибка связанна с аппаратным ускорением шифрования.

  • 0
Sergun4uk Member

Sergun4uk

Posted
  • Author
Posted

Проблема не исчезла, все еще куча ошибок при передаче данных внутри канала на обоих устройствах. 

  • 0
yuoras Honored Flooder

yuoras

Posted
Posted

На Ultra 1810 и на Giga 1010 тоже наблюдаю постоянно (версии 3.7.1)

Цитата

EIP93: aead decryption failed: auth tag invalid

На Giga II (2.16 версии) ,таких записей не наблюдается

Куда смотреть?

Благодарность

  • 0
yuoras Honored Flooder

yuoras

Posted
Posted

Обратят внимание  на ошибку????

Скоро будет год , как пользователи начали показывать эту ошибку.

А решения никто не предоставил .

 

Тут не решают , тех поддержка молчит.

  • 0
Le ecureuil NetFriend

Le ecureuil

Posted
Posted
В 14.03.2022 в 23:52, yuoras сказал:

Обратят внимание  на ошибку????

Скоро будет год , как пользователи начали показывать эту ошибку.

А решения никто не предоставил .

 

Тут не решают , тех поддержка молчит.

У вас на линии связи происходит порча пакетов. Разберитесь с ней.

Раньше не было таких записей только потому, что это "замалчивалось". Теперь вы их видите, можете оценить количество и что-то предпринять.

  • Upvote 1
  • 0
PASPARTU Honored Flooder

PASPARTU

Posted
Posted
В 14.03.2022 в 23:52, yuoras сказал:

Обратят внимание  на ошибку????

Скоро будет год , как пользователи начали показывать эту ошибку.

А решения никто не предоставил .

 

Тут не решают , тех поддержка молчит.

киньте Ping c большими пакетами от роутера до роутера , проверьте как работает , еще можете запустить MTR для проверки на пару часов, логи потом провайдеру отправьте.

 

Для примера : ping yandex.ru -n 1000 -l 65500

  • Upvote 1
  • 0
Вячеслав Хлопонин Newbie

Вячеслав Хлопонин

Posted
Posted

Может кому поможет. Такие ошибки кидает если использовать доменное имя "???.keenetic.pro", если вместо этого забить прямой IP к L2TP серверу, то на клиентах нет ошибок вида: 

EIP93: aead decryption failed: auth tag invalid
  • Upvote 1
  • 0
Михаил Г. Newbie

Михаил Г.

Posted
Posted (edited)

У меня на сервере такие ошибки. На клиентах как раз IP задан и ошибок нет.

Edited by Михаил Г.
  • Upvote 1
  • 0
yuoras Honored Flooder

yuoras

Posted
Posted
1 час назад, Вячеслав Хлопонин сказал:

Может кому поможет. Такие ошибки кидает если использовать доменное имя "???.keenetic.pro", если вместо этого забить прямой IP к L2TP серверу, то на клиентах нет ошибок вида: 

EIP93: aead decryption failed: auth tag invalid

Я то думал , что поправили в прошивке что то.

Значит совпало просто

Указан у меня IP

  • 0
Вячеслав Хлопонин Newbie

Вячеслав Хлопонин

Posted
Posted

После нескольких тестов стало понятно что проблема осталась, все таки это от нагрузки зависит. Сервер Ultra (KN-1810) все в порядке в любом случае. Два клиента Speedster (KN-3010) под нагрузкой(60-120 мегабит) все равно постоянно кидает эти сообщения, при отсутствии/слабой нагрузке все ок. Буду пробовать разобраться с потерями пакетов, везде провайдер один и интернет 300 мегабит, но все может быть.

  • 0
Le ecureuil NetFriend

Le ecureuil

Posted
Posted
В 14.02.2023 в 10:04, Вячеслав Хлопонин сказал:

Может кому поможет. Такие ошибки кидает если использовать доменное имя "???.keenetic.pro", если вместо этого забить прямой IP к L2TP серверу, то на клиентах нет ошибок вида: 

EIP93: aead decryption failed: auth tag invalid

Такого быть не может, какой-то плацебо-эффект у вас.

  • 0
Le ecureuil NetFriend

Le ecureuil

Posted
Posted

Повторю свой пост годовалой давности - на линии происходит порча пакетов. Роутер может только о них сообщить по факту, и все - починить их на его стороне невозможно.

  • Thanks 1
  • 0
yuoras Honored Flooder

yuoras

Posted
Posted
В 15.02.2023 в 10:06, Le ecureuil сказал:

Такого быть не может, какой-то плацебо-эффект у вас.

Плацебо , не плацебо но у меня такой же эффект как и у Вячеслав Хлопонин.

После указания IP, ошибки пропали.

  • 0
dvlad666 Newbie

dvlad666

Posted
Posted (edited)
On 2/15/2023 at 11:07 AM, Le ecureuil said:

Повторю свой пост годовалой давности - на линии происходит порча пакетов. Роутер может только о них сообщить по факту, и все - починить их на его стороне невозможно.

Добрый день! Присоединяюсь к дискуссии по данной ошибке. Viva kn-1910, прошивка 4.3.6.3.

Сразу скажу, тестами смог ОПРОВЕРГНУТЬ теорию ув. автора, это НЕ про ошибки и потери на линии. Вероятнее всего идёт гонка между двумя ядрами проца.

Сетап следующий:

  • Spoiler
    • Viva kn-1910 4.3.6.3 Аппаратное ускорение выключено.
    • WAN = l2tp от известного провайдера тариф 300мбит/с. Скорость по тарифу выдерживается.
    • WAN воткнут через умный свитч, который считает в т.ч. ошибки в пакетах. Ошибок ноль.
    • На роутере подняты:
      • OpenConnect клиентское соединение (в момент теста не нагружено, но мы будем его дергать). Само это подлючение ведет очень далеко , трафика почти не содержит, и с нижеописанным никак не связано.
      • EoIP over IKEv2 проброс внешнего сегмента в один локальный порт, там по кабелю тусуются компы
      • Wi-Fi 5Ghz Home segment
      • L2TP/Ipsec  сервер (в момент теста не нагружено)
      • IKEv1 Сервер (в момент теста не нагружено)
      • IKEv2 сервер (в момент теста задействуется под один внешний андройд клиент)
    • Есть также отдельный внешний андройд клиент, который сидит на таком же провайдере через другой роутер и поднимает IKEv2 туннель на сервер из предыдущей строки. В этом туннеле скорости примерно 30-40мбит/с (ограничение 1910)

     

Симпотомы при этом:

  • Spoiler
    • Ошибка EIP93 возникает в 95% случаев - вместе с ошибкой "openconnect DTLS handshake failed: Resource temporarily unavailable, try again.", через примерно 1-80 секунд после неё. В обратном направлении такое утверждение не наблюдается
    • Тесты проводятся одним и тем же компом и браузером, протсо комп переводится либо по кабелю в удаленную EoIP-over-IKEv2 локалку и начинает брать интернет "с того конца", и там скорости всегда были порядка 40мбит/с, либо локалка отключается, и этот комп начинает брать интерент по вайфаю 5Ghz прямо с этого роутера с вышеупомянутого L2TP WAN линка 300мбит/с
    • Ошибка EIP93 не возникает НИКОГДА через местный WAN, даже если под нагрузкой спидтестом, передернуть или не трогать OpenConnect клиентское подключение и держать EOIP-over-IKEv2 включенным, но не нагруженным
    • Ошибка EIP93 возникает ПОЧТИ ВСЕГДА, если начать гонять нагрузку через EoIP-over-IKEv2 локалку - будь то спидтест или ping -t -l 60000
    • Ошибка EIP93 возникает ЧАСТО, если при подключенном внешнем андройд-клиенте на IKEv2 сервер ничего не гонять и при этом передернуть Openconnect подключение и дождаться DTLS handshake failed
    • Ошибка EIP93 не возникает НИКОГДА, если просто давать полную нагрузку внешним андройд-клиентом на IKEv2 Сервер при выключенном Openconnect подключении и выключенном EOIP-over-IKEv2
    • Ошибка EIP93 не возникает НИКОГДА, если при подключенном андройде (нагружка не важна) запустить EOIP-over-IKEv2 туннель без компов до удаленной локалки
    • Ошибка EIP93 не возникает ВСЕГДА, если после предыдущего действия вдуть в этот туннель пинг 50000+ байт. При этом первый пакет обычно пропадает.

     

На этом исследование закончил, ситуация последних трёх шагов многократно воспроизводима - локальный L2TP Интерент под любой нагрузкой, удаленный телефон с любой нагрузкой И EOIP-over-IKEv2 туннель без нагрузки могут висеть одновременно включенными сколько угодно долго.

Но стоит подать в EOIP-over-IKEv2 туннель пинг 50000+ байт! Сразу же возникает эта ошибка. При этом на пингах менее 40000 байт словить её трудно, если EOIP не нагружен. Далее перезагружаем EOIP туннель, ждём - тихо, шлём первый большой пинг - снова ловим.

Выводы: Ошибка присутствует как минимум на МТ7621, и она НЕ связана ни с потерями пакетов на локальном WAN линке, ни с его скоростью. Т.к. при всех внешних линках в данном тесте их скорость - это 300, 500Мбит, скорость туннелей при этом 30-40Мбит, и она стабильна. Внешние линки физически показывают способность передавать нагрузку 200+ даже вместе с туннелями, а это выше чем 30-40, и уж точно выше, чем один несчастный пинг на 50кбайт.

Вероятнее всего, ошибка связана с какой-то внутренней Race condition на двух ядрах MT7621 процессоров при наличии более чем одного туннеля в UDP пространстве. Или в случае с L2TP WAN - получается, более чем двух, по числу обрабатывающих UDP пакеты ядер. Если появляется третий туннель (в моём случае втрой IKEv2+eoip) и пакет третьего туннеля падает не на то ядро, то оно его может быть и откидывает, как не соответствующий ожиданиям канала шифрования.

Добавление Openconnect во всей этой ситуации видимо является протсо усугубляющим фактором, когда запускается механизм DTLS (т.е. UDP).

Почему порог 40000 vs 50000 байт показал такую четкую корреляцию, не знаю... Возможно, есть некий порог 48кБайт/MTU1460_l2tp_wan = 33 пакета, т.е. где-то прилетает более чем 16 пакетов на каждое ядро проца, и они начинают чудить.

Благодарю всех за внимание к данной теме

Edited by dvlad666
про ИКЕв2 сервер некорректно указал, он использовался для тестов одним клиентом

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.
Note: Your post will require moderator approval before it will be visible.

Guest
Answer this question...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

×
 Share
Go to question listing

  • Recently Browsing   0 members

    • No registered users viewing this page.
×
×
  • Create New...

Important Information

This site uses cookies. By clicking "I accept" or continuing to browse the site, you authorize their use in accordance with the Privacy Policy.

  I accept