Waarom ’n besige IPsec-tonnel vroeg hersluit: tyd- versus volumebepekinge

Ongeveer elke vyftig minute val ’n tonnel op ’n besige skakel vir ’n paar sekondes uit, en die eerste verdagte is die klok. Assosiasies kan op ’n tydsbeperking of op ’n grepetelling eindig, en die grens wat eerste kom, is die een wat hulle aftree. Op ’n skakel wat werklike verkeer dra, kan ’n volumebeperking lank voor die ingestelde uur verstreke is, afgaan. Dus is “te vroeg” ’n uitspraak oor die klok, nie oor die assosiasie nie.

Tel wat die assosiasie tel, nie die koppelvlak nie

’n Koppelvlak se grepetotaal, ’n paneel se gekombineerde deurset en die assosiasie se eie teller is drie afsonderlike getalle, en net een daarvan word teen die limiet vergelyk. Teken die inkomende en uitgaande assosiasies afsonderlik met hul identifiseerders aan, sodat ’n hersluiting wat een rigting raak, as ’n rigtinggebeurtenis verskyn eerder as ’n raaisel. Die assosiasieteller begin ook weer by hersluiting, en daarom groei ’n totaal wat by die koppelvlak geneem word terwyl die waarde wat saak maak, terugstel.

Die rekenwerk is een keer werd gedoen, sodat die grootteorde ophou willekeurig voel. ’n Getelde begroting van een gibibite wat teen ’n bestendige 128 mebibite per minuut uitgeput word, is in agt minute op, en dit is ’n eenheidsomsetting eerder as ’n meting van jou tonnel. As die syfer ver onder die tydsbeperking lê, is volume die meganisme en geen mate van klokkie kyk sal die interval verklaar nie. As dit ver daarbo lê, is die grepebeperking nie jou sneller nie en hoort die soektog elders.

Sagte en harde drempels is twee verskillende gebeurtenisse

’n Sagte drempel vra om ’n vervanging lank voordat die harde limiet die assosiasie beëindig, en implementerings lê hul eie marges en randomisering bo-op wat jy ook al ingestel het. Dit is waarom die waargenome interval byna nooit ’n ronde getal is nie. Die IPsec-argitektuur beskryf leeftye uitgedruk as tyd en grepetellings met die twee soorte drempels, en die vroegste verstryking geld. Behandel een gedrukte leeftyd as ’n skedule en jy sal met die marge verkeerd wees.

Lees die effektiewe beleid uit die lopende toestand eerder as om dit uit ’n getal in ’n lêer af te lei, want die marge behoort aan die implementering, nie aan jou bedoeling nie. Weerstaan die drang om limiete na hul maksimum te rek om die simptoom stil te maak: ’n tonnel wat volgens skedule hersluit, gedra hom soos ontwerp, en ’n langer leeftyd stel die gebeurtenis net uit terwyl dit ’n gekompromitteerde sleutel langer bruikbaar hou. Wanneer die vervanging self misluk, is die limiet die boodskapper eerder as die fout.

Lees die effektiewe leeftyd uit die lopende toestand

Op strongSwan druk swanctl --list-sas die assosiasie-opsomming met sy hersluit- en leeftye uit, sodat die waarde wat die daemon wil afdwing, sigbaar is sonder raaiwerk. Op ’n Linux-gasheer sonder ’n daemon-oorsig rapporteer ip xfrm state die ingestelde sagte en harde grepe- en pakkettelimiete langs die huidige tellers. Daardie twee lesings beantwoord verskillende vrae en albei is werd om in die kaartjie te hou.

swanctl --list-sas
ip -s xfrm state

Vergelyk die gedrukte sagte drempel met die interval wat jy gemeet het, want ’n vervanging wat teen ’n marge onder die harde limiet begin, is normaal en een wat nooit begin nie, is nie. As die daemon een leeftyd wys en die kerntoestand ’n ander, kyk jy na twee lae wat verskil, en dit is self die bevinding.

Hou die uitruiling dop wat die SA vervang

Hou drie hernuwings apart, want hulle misluk op verskillende maniere: ’n IKE SA-hersluiting bou ’n nuwe beheerassosiasie, ’n CHILD SA-hersluiting vervang die data-assosiasie, en herverifiëring herhaal die identiteitsuitruiling. In IKEv2 besluit elke eweknie oor sy eie leeftye eerder as om een gedeelde waarde te beding, so ’n uitruiling wat jy nie begin het nie, is gewoon. ’n Verskil in perfect forward secrecy is ’n algemene rede waarom ’n nuwe child SA juis by die hersluitingsinterval sterf, en dit lyk presies soos ’n tydhouerfout totdat iemand die voorstel lees.

Vergelyk die ou assosiasie met sy opvolger en met die uitruiling wat dit voortgebring het. ’n Identifiseerder wat verdwyn, is roetinevervanging; ’n verwerpte voorstel, ’n ontbrekende antwoord of die afwesigheid van bruikbare opvolgerstoestand is ’n ander gebeurtenis met ’n ander eienaar. Bewaar daardie bewyse voordat jy enigiets verander, want die weergawe-spesifieke notas, die eweknie se voorstel en die bedingde leeftye is wat die saak ’n week later leesbaar maak, nadat die logboeke geroteer het.

Bewys die hernuwing eerder as om dit weg te steek

Aanvaar die ontplooiing deur ’n hernuwing te deurloop wat jy beplan het eerder as een wat met jou gebeur. Forseer ’n enkele hersluiting binne ’n onderhoudsvenster en bevestig dan dat albei rigtings daarna data dra en dat die toepassing se resultaat onveranderd is, nie bloot dat die tonnelaanwyser groen is nie. Teken aan watter limiet afgegaan het en watter uitruiling betrokke was.

’n Gevolgtrekking van daardie vorm oorleef die keuring, terwyl ’n veranderde tydhouerwaarde wat die verbinding vir ’n middag rustig laat lyk het, dit nie doen nie. As net die tydhouer geskuif het, het die bewys saam daarmee geskuif.