Маніторынг інтэрфейса тунэля IPsec: што чытаць

Дызайн IPsec на аснове маршрутаў усталёўвае віртуальны інтэрфейс, і гэты інтэрфейс дае маніторынгу канкрэтны аб’ект: нешта з імем, лічыльнікамі і прывязаным маршрутам. Сам па сабе ён не з’яўляецца сігналам здароўя. Інтэрфейс можа існаваць, калі не ўсталявана ніводнай прыдатнай асацыяцыі, а асацыяцыя можа быць здаровай, калі ніводзін маршрут не накіроўвае да яе цікавы трафік. Менавіта супольнае чытанне чатырох станаў ператварае лічыльнік пакетаў у дыягназ.

Прайдзіце іх па чарзе і спыніцеся на першым, які не праходзіць.

Што інтэрфейс дадае да карціны

У дызайне на аснове палітык выбар жыве ў табліцы палітык IPsec, і ядро вырашае, што абараняецца, зыходзячы з селектараў трафіку. Дызайн на аснове маршрутаў дадае інтэрфейс і маршрут, таму tcpdump і лічыльнікі інтэрфейса бачаць адну мяжу замест набору селектараў. Гэта сапраўдны выйгрыш для дыягностыкі і для пратаколаў маршрутызацыі, якім патрэбны інтэрфейс для пірынгу.

Выйгрыш адміністрацыйны, а не крыптаграфічны. Інтэрфейс паведамляе пра трафік, які нясе, і нічога не кажа пра тое, ці прыдатная зараз абарона з боку партнёра.

Прачытайце чатыры станы, перш чым вінаваціць тунэль

Пачніце з інтэрфейса і маршруту, потым з асацыяцыі, потым з праграмы. Кожны мае ўласную каманду і ўласны подпіс адмовы. Чысты вынік на адным узроўні не з’яўляецца чыстым вынікам на наступным. Выканайце ўсе чатыры, перш чым рабіць выснову. Адзін зялёны радок рэдка нешта вырашае.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Інтэрфейс з лічыльнікам, які расце, але без адпаведнага запісу стану апісвае трафік, што ўваходзіць на шлях, дзе нішто яго не абараняе, а гэта горш, чым проста падзенне тунэля. Запіс стану без маршруту, які выбірае інтэрфейс, азначае, што крыптаграфія гатовая і не выкарыстоўваецца.

Тэст праграмы ідзе апошнім і наўмысна: паспяховы ping на процілеглы бок тунэля не даказвае, што служба за ім прымае злучэнні.

Параўнайце ўнутраныя лічыльнікі з знешнімі

Лічыльнікі на інтэрфейсе тунэля вымяраюць унутраны трафік; лічыльнікі і перахопы на фізічным інтэрфейсе паказваюць інкапсуляваны абмен. Гэтыя два не супадуць адзін да аднаго, бо інкапсуляцыя дадае загалоўкі, паўторныя перадачы дублююць частку пакетаў, а ўлік у рэалізацыі мае ўласныя правілы. Чакайце суадносіны, а не роўнасць.

Месца перахопу таксама вызначае, якія прыватныя даныя вы збіраеце, таму выкарыстоўвайце вузкія фільтры і бясшкодны тэставы адрас замест поўнага перахопу працоўнага трафіку.

Калі ўнутраныя лічыльнікі растуць, а знешнія не, адсутным крокам звычайна з’яўляецца маршрут або палітыка, што адпраўляе пакеты ў тунэль, а не сам тунэль.

Назірайце гэта падчас перазапуску ключоў і адмовы

Назірайце перазапуск ключоў, падзею выяўлення мёртвага партнёра і пераключэнне канала, сочачы за тымі ж чатырма станамі. Інтэрфейс можа заставацца на месцы падчас перазапуску ключоў, які так і не завяршаецца, а пераключэнне можа пакінуць запіс стану, што паказвае на адрас партнёра, які больш недаступны.

Апавяшчайце пра той службовы шлях, ад якога сапраўды залежыце, са станам асацыяцыі як кантэкстам, а не пра адзін сцяг «уверх» ці «ўніз». Захоўвайце імя інтэрфейса, адрас партнёра і маршрут у карыснай нагрузцы апавяшчэння, каб той, хто рэагуе, не аднаўляў іх зноў.

strongSwan дакументуе ўласную мадэль інтэрфейса XFRM, а іншыя платформы называюць і рэалізуюць эквівалентны аб’ект інакш. Прачытайце параўнанне на аснове маршрутаў для прылады перад вамі, перш чым пераносіць дапушчэнні з іншай рэалізацыі. Шаблон маніторынгу, што пасуе да лічыльнікаў аднаго пастаўшчыка, незаўважна ўвядзе ў зман на іншым.