مراقبة واجهة نفق IPsec: ما الذي يجب قراءته

تصميم IPsec القائم على المسارات يثبّت واجهة افتراضية، وهذه الواجهة تمنح المراقبة كائنًا ملموسًا: شيء له اسم وعدّادات ومسار مرتبط به. وهو ليس بحد ذاته إشارة صحة. يمكن أن توجد الواجهة بينما لا توجد أي جمعية صالحة للاستخدام مثبتة، ويمكن أن تكون الجمعية سليمة بينما لا يوجّه أي مسار حركة المرور المهمة إليها. قراءة أربع حالات معًا هي ما يحوّل عدّاد الحزم إلى تشخيص.

تناولها بالترتيب وتوقف عند أول حالة تفشل.

ما الذي تضيفه الواجهة إلى الصورة

في التصميم القائم على السياسات تعيش عملية الاختيار في جدول سياسات IPsec ويقرر النواة ما الذي يُحمى استنادًا إلى محدّدات حركة المرور. أما التصميم القائم على المسارات فيضيف واجهة ومسارًا، بحيث يرى tcpdump وعدّادات الواجهة حدًّا واحدًا بدلًا من مجموعة محدّدات. وهذا مكسب حقيقي للتشخيص ولبروتوكولات التوجيه التي تحتاج واجهة لإجراء peering عبرها.

المكسب إداري لا تشفيري. تُبلّغ الواجهة عن حركة المرور التي تحملها ولا تقول شيئًا عن مدى صلاحية حماية الطرف الآخر في الوقت الحالي.

اقرأ الحالات الأربع قبل أن تلوم النفق

ابدأ بالواجهة والمسار، ثم بالجمعية، ثم بالتطبيق. لكل منها أمره وبصمته الخاصة بالفشل. النتيجة النظيفة في طبقة ليست نتيجة نظيفة في الطبقة التالية. نفّذ الأربع قبل استخلاص أي استنتاج. سطر أخضر واحد نادرًا ما يحسم شيئًا.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

الواجهة التي يرتفع عدّادها دون إدخال حالة مطابق تصف حركة مرور تدخل مسارًا لا يحميها فيه شيء، وهذا أسوأ من نفق متوقف ببساطة. وإدخال الحالة دون مسار يختار الواجهة يعني أن التشفير جاهز وغير مستخدم.

يأتي اختبار التطبيق أخيرًا وبشكل مقصود: نجاح ping إلى الجانب الآخر من النفق لا يثبت أن الخدمة خلفه تقبل الاتصالات.

قارن العدّادات الداخلية بالعدّادات الخارجية

تقيس العدّادات على واجهة النفق حركة المرور الداخلية؛ وتُظهر العدّادات والالتقاطات على الواجهة الفيزيائية التبادل المُغلَّف. لن يتطابق الاثنان واحدًا بواحد، لأن التغليف يضيف رؤوسًا، وإعادة الإرسال تكرّر بعض الحزم، ومحاسبة التنفيذ تتبع قواعدها الخاصة. توقّع نسبة لا مساواة.

موقع الالتقاط يحدد أيضًا أي بيانات خاصة تجمعها، لذا استخدم مرشّحات ضيقة وعنوان اختبار غير ضار بدلًا من التقاط كامل لحركة المرور الإنتاجية.

إذا ارتفعت العدّادات الداخلية ولم ترتفع الخارجية، فالخطوة الناقصة عادةً هي المسار أو السياسة التي ترسل الحزم إلى النفق، لا النفق نفسه.

راقب ذلك عبر تجديد المفاتيح والتحويل الاحتياطي

راقب تجديدًا للمفاتيح وحدث اكتشاف طرف ميت وتحويلًا احتياطيًا للرابط أثناء مراقبة الحالات الأربع نفسها. قد تبقى الواجهة موجودة خلال تجديد للمفاتيح لا يكتمل أبدًا، وقد يترك التحويل الاحتياطي إدخال حالة يشير إلى عنوان طرف لم يعد قابلًا للوصول.

أنذر على مسار الخدمة الذي تعتمد عليه فعليًا، مع حالة الجمعية كسياق، لا على راية واحدة صعودًا أو هبوطًا. أبقِ اسم الواجهة وعنوان الطرف والمسار في حمولة الإنذار، حتى لا يضطر المستجيب إلى إعادة بنائها.

يوثّق strongSwan نموذج واجهة XFRM الخاص به، وتسمّي منصات أخرى الكائن المكافئ وتنفّذه بشكل مختلف. اقرأ المقارنة القائمة على المسارات للجهاز الذي أمامك قبل نقل الافتراضات من تنفيذ آخر. قالب مراقبة يناسب عدّادات مورّد واحد سيضلّل بهدوء عند آخر.