IPsec টানেল ইন্টারফেস পর্যবেক্ষণ: কী পড়বেন

রুট-ভিত্তিক IPsec ডিজাইন একটি ভার্চুয়াল ইন্টারফেস ইনস্টল করে, এবং এই ইন্টারফেস পর্যবেক্ষণকে একটি নির্দিষ্ট বস্তু দেয়: এমন কিছু যার নাম, কাউন্টার এবং তার সঙ্গে যুক্ত একটি রুট আছে। এটি নিজে থেকে স্বাস্থ্যসংকেত নয়। ইন্টারফেস তখনও থাকতে পারে যখন কোনো ব্যবহারযোগ্য অ্যাসোসিয়েশন ইনস্টল করা নেই, এবং অ্যাসোসিয়েশন সুস্থ থাকতে পারে যখন কোনো রুট আগ্রহের ট্রাফিক তার দিকে পাঠায় না। চারটি অবস্থা একসঙ্গে পড়াই প্যাকেট কাউন্টারকে রোগনির্ণয়ে বদলে দেয়।

এগুলো ক্রমানুসারে দেখুন এবং প্রথম যে ব্যর্থ হয় সেখানেই থামুন।

ইন্টারফেস ছবিতে কী যোগ করে

নীতি-ভিত্তিক ডিজাইনে নির্বাচন IPsec নীতি সারণিতে থাকে এবং কার্নেল ট্রাফিক সিলেক্টরের ভিত্তিতে সিদ্ধান্ত নেয় কী সুরক্ষিত হবে। রুট-ভিত্তিক ডিজাইন একটি ইন্টারফেস ও একটি রুট যোগ করে, তাই tcpdump এবং ইন্টারফেস কাউন্টার সিলেক্টরের গুচ্ছের বদলে একটি সীমা দেখে। এটি রোগনির্ণয় এবং যেসব রাউটিং প্রোটোকলের peering-এর জন্য ইন্টারফেস দরকার তাদের জন্য বাস্তব লাভ।

লাভ প্রশাসনিক, ক্রিপ্টোগ্রাফিক নয়। ইন্টারফেস যে ট্রাফিক বহন করে তার প্রতিবেদন দেয় এবং সহকর্মীর সুরক্ষা এই মুহূর্তে ব্যবহারযোগ্য কি না সে বিষয়ে কিছু বলে না।

টানেলকে দোষ দেওয়ার আগে চারটি অবস্থা পড়ুন

ইন্টারফেস ও রুট দিয়ে শুরু করুন, তারপর অ্যাসোসিয়েশন, তারপর অ্যাপ্লিকেশন। প্রত্যেকের নিজস্ব কমান্ড ও নিজস্ব ব্যর্থতার স্বাক্ষর আছে। এক স্তরে পরিষ্কার ফলাফল পরের স্তরে পরিষ্কার ফলাফল নয়। সিদ্ধান্তে পৌঁছানোর আগে চারটিই চালান। একটি সবুজ লাইন কদাচিৎ কিছু স্থির করে।

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

যে ইন্টারফেসের কাউন্টার বাড়ছে কিন্তু মিলযুক্ত অবস্থা এন্ট্রি নেই, তা এমন ট্রাফিক বর্ণনা করে যা এমন পথে ঢুকছে যেখানে কিছুই তাকে সুরক্ষা দিচ্ছে না, এবং এটি কেবল বন্ধ টানেলের চেয়েও খারাপ। রুট ছাড়া অবস্থা এন্ট্রি যা ইন্টারফেস বেছে নিত, তার অর্থ ক্রিপ্টোগ্রাফি প্রস্তুত কিন্তু অব্যবহৃত।

অ্যাপ্লিকেশন পরীক্ষা ইচ্ছাকৃতভাবে সবার শেষে আসে: টানেলের অপর প্রান্তে সফল ping প্রমাণ করে না যে তার পেছনের সেবা সংযোগ গ্রহণ করে।

ভেতরের কাউন্টার বাইরের কাউন্টারের সঙ্গে তুলনা করুন

টানেল ইন্টারফেসের কাউন্টার ভেতরের ট্রাফিক মাপে; ভৌত ইন্টারফেসের কাউন্টার ও ক্যাপচার encapsulated আদান-প্রদান দেখায়। দুটি এক-এর বদলে-এক মিলবে না, কারণ encapsulation শিরোনাম যোগ করে, পুনঃপ্রেরণ কিছু প্যাকেট নকল করে এবং implementation-এর হিসাব নিজের নিয়মে চলে। অনুপাতের আশা করুন, সমতার নয়।

ক্যাপচারের অবস্থান এটিও ঠিক করে যে আপনি কোন ব্যক্তিগত ডেটা সংগ্রহ করেন, তাই উৎপাদন ট্রাফিকের সম্পূর্ণ ক্যাপচারের বদলে সংকীর্ণ ফিল্টার ও একটি নিরীহ পরীক্ষা ঠিকানা ব্যবহার করুন।

যদি ভেতরের গণনা বাড়ে আর বাইরের না বাড়ে, তবে অনুপস্থিত ধাপ সাধারণত সেই রুট বা নীতি যা প্যাকেট টানেলে পাঠায়, টানেল নিজে নয়।

কী নবায়ন ও ফেলওভারের মধ্য দিয়ে এটি দেখুন

একই চারটি অবস্থার দিকে নজর রেখে একটি কী নবায়ন, একটি মৃত সহকর্মী শনাক্তকরণ ঘটনা এবং একটি লিংক ফেলওভার লক্ষ্য করুন। ইন্টারফেস এমন কী নবায়নের সময়ও উপস্থিত থাকতে পারে যা কখনো সম্পূর্ণ হয় না, এবং ফেলওভার অবস্থা এন্ট্রিকে এমন সহকর্মী ঠিকানার দিকে দেখিয়ে রেখে যেতে পারে যা আর পৌঁছনো যায় না।

যে সেবা পথের উপর আপনি সত্যিই নির্ভর করেন সেখানে সতর্কতা দিন, অ্যাসোসিয়েশনের অবস্থাকে প্রসঙ্গ হিসেবে নিয়ে, কোনো একক উপরে বা নিচে ফ্ল্যাগে নয়। ইন্টারফেসের নাম, সহকর্মীর ঠিকানা ও রুট সতর্কতার পেলোডে রাখুন, যাতে সাড়া দানকারীকে সেগুলো আবার গড়তে না হয়।

strongSwan নিজের XFRM ইন্টারফেস মডেল নথিভুক্ত করে, আর অন্য প্ল্যাটফর্ম সমতুল্য বস্তুকে ভিন্নভাবে নাম দেয় ও বাস্তবায়ন করে। অন্য implementation থেকে অনুমান সরানোর আগে আপনার সামনের ডিভাইসের জন্য রুট-ভিত্তিক তুলনা পড়ুন। এক ভেন্ডরের কাউন্টারে মানানসই পর্যবেক্ষণ টেমপ্লেট অন্যটিতে নীরবে বিভ্রান্ত করবে।