Məşğul IPsec tuneli niyə erkən açar yeniləyir: vaxt və həcm hədləri

Təxminən hər əlli dəqiqədə məşğul xəttdəki tunel bir neçə saniyə düşür və ilk şübhəli saatdır. Assosiasiyalar vaxt həddi və ya bayt sayı ilə bitə bilər və hansı sərhəd əvvəl gəlsə, onları təqaüdə çıxaran odur. Real trafik daşıyan xəttdə həcm həddi konfiqurasiya olunmuş saat bitməmişdən çox əvvəl işə düşə bilər. Yəni «çox erkən» saat haqqında bir ifadədir, assosiasiya haqqında deyil.

İnterfeysi deyil, assosiasiyanın saydığını sayın

İnterfeysin bayt cəmi, panelin birləşdirilmiş ötürmə qabiliyyəti və assosiasiyanın öz sayğacı üç ayrı rəqəmdir və onlardan yalnız biri hədlə müqayisə olunur. Daxil olan və çıxan assosiasiyaları identifikatorları ilə ayrıca qeyd edin ki, bir istiqamətə toxunan açar yenilənməsi sirr deyil, istiqamət hadisəsi kimi görünsün. Assosiasiya sayğacı da açar yenilənməsində yenidən başlayır, buna görə də interfeysdən götürülən cəm artır, əhəmiyyətli dəyər isə sıfırlanır.

Hesablamanı bir dəfə aparmağa dəyər ki, miqyas sırası özbaşına görünməkdən çıxsın. Dəqiqədə sabit 128 mebibayt sürətlə tükənən bir gibibaytlıq sayılmış büdcə səkkiz dəqiqədə bitir və bu, tunelinizin ölçülməsi deyil, vahid çevrilməsidir. Nəticə rəqəmi vaxt həddindən çox aşağıdırsa, mexanizm həcmdir və saat izləməyin heç bir miqdarı intervalı izah etməyəcək. Çox yuxarıdırsa, bayt həddi sizin tətikləyiciniz deyil və axtarış başqa yerə aiddir.

Yumşaq və sərt hədlər iki fərqli hadisədir

Yumşaq hədd sərt hədd assosiasiyanı bitirməmişdən xeyli əvvəl əvəzləmə istəyir və tətbiqatlar öz marjalarını və təsadüfiləşdirməsini konfiqurasiya etdiyinizin üstünə qatır. Buna görə müşahidə olunan interval demək olar ki, heç vaxt dairəvi rəqəm olmur. IPsec arxitekturası ömürləri vaxt və bayt sayları ilə iki hədd növü kimi təsvir edir və daha əvvəl bitən hökm edir. Bir çap olunmuş ömrü cədvəl kimi qəbul etsəniz, marja qədər səhv edəcəksiniz.

Effektiv siyasəti fayldakı rəqəmdən çıxarmaq yerinə işlək vəziyyətdən oxuyun, çünki marja tətbiqata aiddir, niyyətinizə deyil. Simptomu susdurmaq üçün hədləri maksimumlarına doğru uzatmağa müqavimət göstərin: cədvəl üzrə açar yeniləyən tunel dizayn edildiyi kimi davranır və daha uzun ömür hadisəni yalnız təxirə salır, kompromisə uğramış açarı isə daha uzun müddət işlək saxlayır. Əvəzləmənin özü uğursuz olduqda, hədd günah deyil, xəbərçidir.

Effektiv ömrü işlək vəziyyətdən oxuyun

strongSwan üzərində swanctl --list-sas assosiasiya xülasəsini açar yenilənmə və ömür vaxtları ilə çap edir, beləliklə demonun tətbiq etmək istədiyi dəyər təxmin etmədən görünür. Demon görünüşü olmayan Linux hostunda ip xfrm state konfiqurasiya olunmuş yumşaq və sərt bayt və paket hədlərini cari sayğacların yanında bildirir. Bu iki oxunuş fərqli suallara cavab verir və hər ikisi biletin içində saxlamağa dəyər.

swanctl --list-sas
ip -s xfrm state

Çap olunmuş yumşaq həddi ölçdüyünüz intervalla müqayisə edin, çünki sərt həddən aşağı marjada başlayan əvəzləmə normaldır, heç başlamayan əvəzləmə isə deyil. Demon bir ömür, kernel vəziyyəti başqa bir ömür göstərirsə, bir-biri ilə razılaşmayan iki qat görürsünüz və bu, özü tapıntıdır.

SA-nı əvəz edən mübadiləni izləyin

üç yenilənməni ayrı saxlayın, çünki onlar fərqli şəkildə uğursuz olur: IKE SA açar yenilənməsi yeni idarəetmə assosiasiyası qurur, CHILD SA açar yenilənməsi məlumat assosiasiyasını əvəz edir və yenidən autentifikasiya şəxsiyyət mübadiləsini təkrarlayır. IKEv2-də hər peer ortaq bir dəyər barışdırmaq yerinə öz ömürlərinə qərar verir, buna görə sizin başlatmadığınız mübadilə adidir. Perfect-forward-secrecy uyğunsuzluğu yeni child SA-nın məhz açar yeniləmə intervalında ölməsinin tez-tez səbəbidir və kimsə təklifi oxuyana qədər tamamilə taymer nasazlığı kimi görünür.

Köhnə assosiasiyanı onun varisi və onu yaradan mübadilə ilə müqayisə edin. İdentifikatorun yox olması adi əvəzləmədir; rədd edilmiş təklif, çatışmayan cavab və ya işlək varis vəziyyətinin olmaması fərqli sahibi olan fərqli hadisədir. Hər hansı bir şeyi dəyişməzdən əvvəl bu sübutu qoruyun, çünki versiyaya aid qeydlər, peer-in təklifi və barışdırılmış ömürlər işi bir həftə sonra, loqlar döndükdən sonra oxunaqlı edən şeylərdir.

Yenilənməni gizlətmək yerinə sübut edin

Yerləşdirməni sizə təsadüfən gələn deyil, planladığınız bir yenilənmədən keçərək qəbul edin. Baxım pəncərəsi içində bir dəfə açar yenilənməsini məcbur edin, sonra hər iki istiqamətin sonradan məlumat daşıdığını və tətbiq nəticəsinin dəyişmədiyini təsdiqləyin, sadəcə tunel göstəricisinin yaşıl olmasını deyil. Hansı həddin işə düşdüyünü və hansı mübadilənin iştirak etdiyini qeyd edin.

Bu formada bir nəticə yoxlamadan çıxır, amma bağlantını bir günorta sakit göstərən dəyişdirilmiş taymer dəyəri çıxmır. Yalnız taymer tərpəndisə, sübut da onunla tərpəndi.