IPsec tunel interfeysinə nəzarət: nəyi oxumalı

Marşruta əsaslanan IPsec dizaynı virtual interfeys quraşdırır və bu interfeys monitorinqə konkret obyekt verir: adı, sayğacları və ona bağlı marşrutu olan bir şey. Tək başına bu sağlamlıq siqnalı deyil. İnterfeys istifadə oluna bilən heç bir assosiasiya quraşdırılmadıqda mövcud ola bilər və assosiasiya sağlam ola bilər, halbuki heç bir marşrut maraqlı trafiki ona göndərmir. Dörd vəziyyəti birlikdə oxumaq paket sayğacını diaqnoza çevirən şeydir.

Onları sıra ilə nəzərdən keçirin və uğursuz olan birincidə dayanın.

İnterfeys şəklə nə əlavə edir

Siyasət əsaslı dizaynda seçim IPsec siyasət cədvəlində yaşayır və nüvə trafik seçicilərinə əsasən nəyin qorunacağına qərar verir. Marşruta əsaslanan dizayn interfeys və marşrut əlavə edir, beləliklə tcpdump və interfeys sayğacları seçicilər dəsti əvəzinə bir sərhəd görür. Bu, diaqnostika və üzərində peering qurmaq üçün interfeysə ehtiyac duyan marşrutlaşdırma protokolları üçün real qazancdır.

Qazanc inzibati xarakterlidir, kriptoqrafik deyil. İnterfeys daşıdığı trafik barədə məlumat verir və qarşı tərəfin mühafizəsinin hazırda istifadə oluna bilən olub-olmaması barədə heç nə demir.

Tuneli günahlandırmadan əvvəl dörd vəziyyəti oxuyun

İnterfeys və marşrutla başlayın, sonra assosiasiya, sonra tətbiq. Hər birinin öz əmri və öz nasazlıq imzası var. Bir qatda təmiz nəticə növbəti qatda təmiz nəticə deyil. Nəticə çıxarmazdan əvvəl dördünü də işlədin. Bir yaşıl sətir nadir hallarda nəyisə həll edir.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Sayğacı artan, lakin uyğun vəziyyət qeydi olmayan interfeys heç nəyin qorumadığı bir yola daxil olan trafiki təsvir edir ki, bu da sadəcə söndürülmüş tuneldən pisdir. İnterfeysi seçən marşrutu olmayan vəziyyət qeydi kriptoqrafiyanın hazır və istifadəsiz olduğunu bildirir.

Tətbiq testi qəsdən ən sonda gəlir: tunelin o biri tərəfinə uğurlu ping, arxasındakı xidmətin bağlantı qəbul etdiyini sübut etmir.

Daxili sayğacları xarici sayğaclarla müqayisə edin

Tunel interfeysindəki sayğaclar daxili trafiki ölçür; fiziki interfeysdəki sayğaclar və tutmalar kapsullaşdırılmış mübadiləni göstərir. İkisi birə-bir uyğun gəlməyəcək, çünki kapsullaşdırma başlıqlar əlavə edir, təkrar ötürmələr bəzi paketləri dublikat edir və tətbiqin hesabatı öz qaydalarına əməl edir. Bərabərlik deyil, nisbət gözləyin.

Tutmanın yeri hansı şəxsi məlumatları topladığınızı da müəyyən edir, ona görə də istehsal trafikinin tam tutması əvəzinə dar filtrlər və zərərsiz test ünvanı istifadə edin.

Daxili saylar artır, xarici saylar artmırsa, çatışmayan addım adətən paketləri tunelə göndərən marşrut və ya siyasətdir, tunelin özü deyil.

Açar yenilənməsi və ehtiyat keçid boyunca izləyin

Eyni dörd vəziyyəti izləyərkən açar yenilənməsini, ölü qarşı tərəfin aşkarlanması hadisəsini və keçid ehtiyatına keçidi müşahidə edin. İnterfeys heç vaxt tamamlanmayan açar yenilənməsi zamanı mövcud qala bilər və keçid vəziyyət qeydini artıq əlçatmaz olan qarşı tərəf ünvanına yönəldə bilər.

Həqiqətən asılı olduğunuz xidmət yolunda, assosiasiya vəziyyətini kontekst kimi istifadə edərək siqnal verin, tək bir yuxarı və ya aşağı bayrağında deyil. İnterfeys adını, qarşı tərəf ünvanını və marşrutu siqnal yükündə saxlayın ki, cavab verən şəxs onları yenidən qurmaq məcburiyyətində qalmasın.

strongSwan öz XFRM interfeys modelini sənədləşdirir və digər platformalar ekvivalent obyekti fərqli adlandırır və tətbiq edir. Fərqli tətbiqdən fərziyyələri köçürməzdən əvvəl qarşınızdakı cihaz üçün marşruta əsaslanan müqayisəni oxuyun. Bir istehsalçının sayğaclarına uyğun monitorinq şablonu digərində səssizcə yanıldacaq.