ব্যস্ত IPsec টানেল আগেভাগে কী বদলায়: সময় বনাম আয়তনের সীমা

প্রায় প্রতি পঞ্চাশ মিনিটে ব্যস্ত লিঙ্কের একটি টানেল কয়েক সেকেন্ডের জন্য পড়ে যায়, আর প্রথম সন্দেহভাজন হলো ঘড়ি। অ্যাসোসিয়েশন সময়সীমা বা বাইট গণনায় শেষ হতে পারে, আর যে সীমা আগে আসে সেটিই তাদের অবসরে পাঠায়। প্রকৃত ট্রাফিক বহনকারী লিঙ্কে আয়তনের সীমা নির্ধারিত ঘণ্টা শেষ হওয়ার অনেক আগেই সক্রিয় হতে পারে। তাই «খুব আগে» ঘড়ি সম্পর্কে একটি বিবৃতি, অ্যাসোসিয়েশন সম্পর্কে নয়।

ইন্টারফেস নয়, অ্যাসোসিয়েশন যা গোনে তা গুনুন

ইন্টারফেসের মোট বাইট, ড্যাশবোর্ডের সম্মিলিত থ্রুপুট আর অ্যাসোসিয়েশনের নিজস্ব কাউন্টার তিনটি আলাদা সংখ্যা, এবং তাদের মধ্যে কেবল একটি সীমার সঙ্গে তুলনা করা হয়। অন্তর্মুখী ও বহির্মুখী অ্যাসোসিয়েশন তাদের শনাক্তকারীসহ আলাদাভাবে লিপিবদ্ধ করুন, যাতে এক দিক স্পর্শ করা কী-পুনর্নবীকরণ রহস্য নয়, দিকগত ঘটনা হিসেবে দেখা যায়। কী-পুনর্নবীকরণে অ্যাসোসিয়েশন কাউন্টারও আবার শুরু হয়, তাই ইন্টারফেস থেকে নেওয়া মোট বাড়ে, অথচ গুরুত্বপূর্ণ মান রিসেট হয়।

হিসাবটা একবার করা উচিত, যাতে মাত্রার ক্রম আর ইচ্ছেমতো মনে না হয়। প্রতি মিনিটে স্থির 128 মেবিবাইট হারে ক্ষয় হওয়া এক গিবিবাইটের গণিত বাজেট আট মিনিটে শেষ হয়, আর এটি একক রূপান্তর, আপনার টানেলের পরিমাপ নয়। ফলাফলের সংখ্যাটি সময়সীমার অনেক নিচে থাকলে আয়তনই প্রক্রিয়া, আর ঘড়ি দেখা কোনোভাবেই বিরতিটি ব্যাখ্যা করবে না। এটি অনেক উপরে থাকলে বাইটের সীমা আপনার ট্রিগার নয় এবং খোঁজ অন্যত্র।

নরম ও কঠিন থ্রেশহোল্ড দুটি আলাদা ঘটনা

কঠিন সীমা অ্যাসোসিয়েশন শেষ করার অনেক আগেই নরম থ্রেশহোল্ড প্রতিস্থাপন চায়, আর বাস্তবায়নগুলো আপনার নির্ধারিত সবকিছুর ওপরে নিজেদের মার্জিন ও র‍্যান্ডমাইজেশন চাপায়। তাই পর্যবেক্ষিত বিরতি প্রায় কখনোই গোল সংখ্যা নয়। IPsec স্থাপত্য সময় ও বাইট গণনায় প্রকাশ করা আজীবন দুটি থ্রেশহোল্ড প্রকারসহ বর্ণনা করে, আর আগে মেয়াদোত্তীর্ণটিই প্রযোজ্য। একটি মুদ্রিত আজীবনকে সময়সূচি ধরে নিলে মার্জিন পরিমাণ ভুল করবেন।

কার্যকর নীতি ফাইলের একটি সংখ্যা থেকে অনুমান না করে চলমান অবস্থা থেকে পড়ুন, কারণ মার্জিনটি বাস্তবায়নের, আপনার উদ্দেশ্যের নয়। উপসর্গ চুপ করাতে সীমাগুলো সর্বোচ্চ পর্যন্ত টানার প্রবণতা প্রতিরোধ করুন: সময়সূচি অনুযায়ী কী বদলানো টানেল যেমন ডিজাইন করা তেমনই আচরণ করছে, আর দীর্ঘতর আজীবন ঘটনাটি কেবল পিছিয়ে দেয়, একই সঙ্গে আপসকৃত কী-কে আরও বেশি সময় ব্যবহারযোগ্য রাখে। প্রতিস্থাপন নিজেই ব্যর্থ হলে সীমাটি দোষ নয়, বার্তাবাহক।

চলমান অবস্থা থেকে কার্যকর আজীবন পড়ুন

strongSwan-এ swanctl --list-sas অ্যাসোসিয়েশনের সারসংক্ষেপ তার কী-পুনর্নবীকরণ ও আজীবন সময়সহ ছাপে, তাই ডেমন যে মান প্রয়োগ করতে চায় তা অনুমান ছাড়াই দেখা যায়। ডেমন দৃশ্য ছাড়া Linux হোস্টে ip xfrm state বর্তমান কাউন্টারগুলোর পাশে নির্ধারিত নরম ও কঠিন বাইট ও প্যাকেট সীমা জানায়। এই দুটি পাঠ ভিন্ন প্রশ্নের উত্তর দেয় এবং দুটিই টিকিটে রাখার যোগ্য।

swanctl --list-sas
ip -s xfrm state

মুদ্রিত নরম থ্রেশহোল্ডকে আপনার মাপা বিরতির সঙ্গে তুলনা করুন, কারণ কঠিন সীমার নিচের মার্জিনে শুরু হওয়া প্রতিস্থাপন স্বাভাবিক, আর কখনো শুরু না হওয়া প্রতিস্থাপন নয়। ডেমন এক আজীবন দেখালে আর কার্নেল অবস্থা অন্য আজীবন দেখালে আপনি দুটি অসঙ্গত স্তর দেখছেন, আর সেটিই আবিষ্কার।

SA প্রতিস্থাপনকারী বিনিময় লক্ষ্য করুন

তিনটি নবায়ন আলাদা রাখুন, কারণ সেগুলো ভিন্নভাবে ব্যর্থ হয়: IKE SA কী-পুনর্নবীকরণ নতুন নিয়ন্ত্রণ অ্যাসোসিয়েশন গড়ে, CHILD SA কী-পুনর্নবীকরণ ডেটা অ্যাসোসিয়েশন প্রতিস্থাপন করে, আর পুনঃপ্রমাণীকরণ পরিচয় বিনিময় পুনরাবৃত্তি করে। IKEv2-তে প্রতিটি পিয়ার একটি ভাগ করা মান নিয়ে দর কষাকষির বদলে নিজের আজীবন নিজেই ঠিক করে, তাই আপনি শুরু করেননি এমন বিনিময় স্বাভাবিক। পারফেক্ট ফরওয়ার্ড সিক্রেসির অমিলই নতুন child SA ঠিক কী-পুনর্নবীকরণ বিরতিতে মরে যাওয়ার ঘন ঘন কারণ, আর কেউ প্রস্তাবটি পড়ার আগ পর্যন্ত এটি ঠিক টাইমার ত্রুটির মতো দেখায়।

পুরনো অ্যাসোসিয়েশনকে তার উত্তরসূরি এবং যেই বিনিময় এটি তৈরি করেছে তার সঙ্গে তুলনা করুন। শনাক্তকারী অদৃশ্য হওয়া রুটিন প্রতিস্থাপন; প্রত্যাখ্যাত প্রস্তাব, অনুপস্থিত উত্তর বা ব্যবহারযোগ্য উত্তরসূরি অবস্থার অভাব ভিন্ন মালিকের ভিন্ন ঘটনা। কিছু বদলানোর আগে সেই প্রমাণ সংরক্ষণ করুন, কারণ সংস্করণভিত্তিক নোট, পিয়ারের প্রস্তাব ও সমঝোতাকৃত আজীবনই এক সপ্তাহ পরে, লগ ঘুরে যাওয়ার পরেও কেসটিকে পাঠযোগ্য করে।

লুকানোর বদলে নবায়ন প্রমাণ করুন

আপনার সঙ্গে ঘটে যাওয়া নবায়নের বদলে পরিকল্পিত নবায়নের মধ্য দিয়ে গিয়ে স্থাপনাটি গ্রহণ করুন। রক্ষণাবেক্ষণ উইন্ডোর ভিতরে একবার কী-পুনর্নবীকরণ জোর করুন, তারপর যাচাই করুন যে এরপর দুই দিকই ডেটা বহন করে এবং প্রয়োগের ফলাফল অপরিবর্তিত, শুধু টানেল সূচক সবুজ নয়। কোন সীমা সক্রিয় হলো এবং কোন বিনিময় জড়িত ছিল লিখে রাখুন।

এমন আকৃতির সিদ্ধান্ত যাচাইয়ে টিকে থাকে, আর সংযোগটিকে এক বিকেল শান্ত দেখানো পরিবর্তিত টাইমার মান টেকে না। কেবল টাইমার সরলে প্রমাণও তার সঙ্গে সরে।