Pam mae twnnel IPsec prysur yn ail-allweddu’n gynnar: terfynau amser yn erbyn terfynau maint

Tua phob hanner can munud, mae twnnel ar gyswllt prysur yn cwympo am ychydig eiliadau, a’r prif amheus yw’r cloc. Gall cymdeithasau ddod i ben ar derfyn amser neu ar gyfrif beitiau, a’r terfyn sy’n cyrraedd gyntaf sy’n eu hymddeol. Ar gyswllt sy’n cario traffig go iawn, gall terfyn maint danio ymhell cyn i’r awr a ffurfweddwyd ddod i ben. Felly mae «yn rhy gynnar» yn ddatganiad am y cloc, nid am y gymdeithas.

Cyfrwch yr hyn y mae’r gymdeithas yn ei gyfrif, nid y rhyngwyneb

Mae cyfanswm beitiau rhyngwyneb, trwmpiwyd cyfun dangosfwrdd a chyfrifydd y gymdeithas ei hun yn dri rhif ar wahân, a dim ond un ohonynt sy’n cael ei gymharu â’r terfyn. Cofnodwch y cymdeithasau mewnol ac allanol ar wahân gyda’u dynodwyr, fel bod ailallweddiad sy’n cyffwrdd un cyfeiriad yn ymddangos fel digwyddiad cyfeiriadol yn lle dirgelwch. Mae cyfrifydd y gymdeithas hefyd yn dechrau eto ar ailallweddiad, a dyna pam mae cyfanswm a gymerwyd o’r rhyngwyneb yn tyfu tra bo’r gwerth sy’n bwysig yn ailosod.

Mae’n werth gwneud yr arithmetic unwaith fel bod urdd maint yn peidio â theimlo’n fympwyol. Mae cyllideb gyfrifedig o un gibibeit sy’n cael ei draenio ar 128 mebibeit y funud yn draenedig mewn wyth munud, a throsiad uned yw hynny yn hytrach na mesuriad o’ch twnnel. Os yw’r ffigur sy’n deillio yn gorwedd ymhell o dan y terfyn amser, maint yw’r mecanwaith ac ni fydd unrhyw faint o wylio’r cloc yn esbonio’r cyfwng. Os yw’n gorwedd ymhell uwchlaw hynny, nid terfyn beitiau yw eich sbardun ac mae’r chwilio yn perthyn yn rhywle arall.

Mae trothwy meddal a chaled yn ddau ddigwyddiad gwahanol

Mae trothwy meddal yn gofyn am amnewidiad ymhell cyn i’r terfyn caled ddod â’r gymdeithas i ben, ac mae gweithrediadau’n gosod eu hymylon a’u hap-dreiglo eu hunain ar ben yr hyn a ffurfweddwyd gennych. Dyna pam nad yw’r cyfwng a arsylwir byth bron yn rhif crwn. Mae pensaernïaeth IPsec yn disgrifio oesau a fyneqir mewn amser a chyfrifon beitiau gyda’r ddau fath o drothwy, a’r dyddiad dod i ben cynharaf sy’n llywodraethu. Os triniwch un oes a brintiwyd fel amserlen, byddwch yn anghywir o faint yr ymyl.

Darllenwch y polisi effeithiol o’r cyflwr rhedeg yn lle ei ddyfalu o rif mewn ffeil, oherwydd yr ymyl sy’n eiddo i’r gweithrediad, nid i’ch bwriad. Gwrthwynebwch y demtasiwn i ymestyn terfynau tuag at eu mwyafswm er mwyn distewi’r symptom: mae twnnel sy’n ailallweddu yn ôl amserlen yn ymddwyn fel y dyluniwyd ef, ac mae oes hirach ond yn gohirio’r digwyddiad tra’n cadw allwedd a gyfaddawdwyd yn ddefnyddiadwy’n hirach. Pan fydd yr amnewidiad ei hun yn methu, y terfyn yw’r negesydd yn hytrach na’r bai.

Darllenwch yr oes effeithiol o’r cyflwr rhedeg

Ar strongSwan, mae swanctl --list-sas yn argraffu crynodeb y gymdeithas gyda’i amseroedd ailallweddu ac oes, felly mae’r gwerth y mae’r daemon yn bwriadu ei orfodi i’w weld heb ddyfalu. Ar wested Linux heb olwg daemon, mae ip xfrm state yn hysbysu’r terfynau beitiau a phecynnau meddal a chaled a ffurfweddwyd wrth ymyl y cyfrifwyr presennol. Mae’r ddwy ddarlleniad hynny yn ateb cwestiynau gwahanol ac mae’r ddwy yn werth eu cadw yn y tocyn.

swanctl --list-sas
ip -s xfrm state

Cymharwch y trothwy meddal a argraffwyd â’r cyfwng a fesuroch, oherwydd mae amnewidiad sy’n dechrau ag ymyl o dan y terfyn caled yn normal ac un na ddechreua byth ddim. Os yw’r daemon yn dangos un oes a chyflwr y cnewyllyn yn dangos un arall, rydych yn edrych ar ddwy haen sy’n anghytuno, ac mae hynny’i hun yn ddarganfyddiad.

Gwyliwch y gyfnewid sy’n amnewid yr SA

Cadwch y tair adnewyddiad ar wahân, oherwydd maent yn methu mewn ffyrdd gwahanol: mae ailallweddiad IKE SA yn adeiladu cymdeithas reoli newydd, mae ailallweddiad CHILD SA yn amnewid y gymdeithas ddata, ac mae ailosgordi yn ailadrodd y gyfnewid humaniaeth. Yn IKEv2 mae pob cyfoed yn penderfynu ei oesau ei hun yn hytrach na thrafod un gwerth a rennir, felly mae cyfnewid na chychwynnoch yn gyffredin. Mae anghysondeb perfect forward secrecy yn achos mynych i child SA newydd farw yn union ar y cyfwng ailallweddu, ac mae’n ymddangos yn union fel diffyg amserydd nes bod rhywun yn darllen y cynnig.

Cymharwch yr hen gymdeithas â’i holynydd ac â’r gyfnewid a’i cynhyrchodd. Mae dynodwr yn diflannu yn amnewidiad arferol; mae cynnig a wrthodwyd, ymateb coll neu absenoldeb cyflwr holynydd defnyddiadwy yn ddigwyddiad gwahanol gyda pherchennog gwahanol. Cadwch y dystiolaeth hono cyn newid unrhyw beth, oherwydd nodiadau penodol i’r fersiwn, cynnig y cyfoed a’r oesau a drafodwyd yw’r pethau sy’n gwneud yr achos yn ddarllenadwy wythnos yn ddiweddarach, ar ôl i’r logiau gylchdroi.

Profwch yr adnewyddiad yn lle ei guddio

Derbyniwch y defnyddiad trwy fynd trwy adnewyddiad a gynlluniwyd gennych yn hytrach nag un sy’n digwydd i chi. Gorfodwch un ailallweddiad o fewn ffenestr gynnal a chadw, yna cadarnhewch fod y ddau gyfeiriad yn cario data wedyn a bod canlyniad y cymhwysiad yn ddigyfnewid, nid yn unig bod dangosydd y twnnel yn wyrdd. Cofnodwch pa derfyn a daniodd a pha gyfnewid a oedd yn rhan.

Mae casgliad o’r ffurf honno yn goroesi archwiliad, tra nad yw gwerth amserydd a newidiwyd a wnaeth i’r cysylltiad edrych yn dawel am brynhawn yn goroesi. Os mai dim ond yr amserydd a symudodd, symudodd y dystiolaeth gydag ef.