Monitro rhyngwyneb twnnel IPsec: beth i’w ddarllen

Mae dyluniad IPsec sy’n seiliedig ar lwybrau yn gosod rhyngwyneb rhithwir, ac mae’r rhyngwyneb hwnnw’n rhoi gwrthrych pendant i fonitro: rhywbeth ag enw, cownteri a llwybr ynghlwm wrtho. Nid yw’n arwydd iechyd ynddo’i hun. Gall y rhyngwyneb fodoli tra nad oes unrhyw gysylltiad defnyddiadwy wedi’i osod, a gall cysylltiad fod yn iach tra nad oes unrhyw lwybr yn anfon y traffig diddorol tuag ato. Darllen pedwar cyflwr gyda’i gilydd sy’n troi cownter pecynnau yn ddiagnosis.

Ewch drwyddynt mewn trefn a stopiwch ar yr un cyntaf sy’n methu.

Beth mae’r rhyngwyneb yn ei ychwanegu at y darlun

Mewn dyluniad sy’n seiliedig ar bolisïau, mae’r dewis yn byw yn nhabl polisïau IPsec ac mae’r cnewyllyn yn penderfynu beth sy’n cael ei ddiogelu yn ôl detholwyr traffig. Mae dyluniad sy’n seiliedig ar lwybrau yn ychwanegu rhyngwyneb a llwybr, felly mae tcpdump a chownteri rhyngwyneb yn gweld un ffin yn lle set o ddetholwyr. Mae hynny’n enillion go iawn i ddiagnosis ac i brotocolau llwybro sydd angen rhyngwyneb i gysylltu peering drosto.

Mae’r enillion yn weinyddol, nid yn gryptograffig. Mae’r rhyngwyneb yn adrodd ar y traffig y mae’n ei gario ac ni ddywed unrhyw beth am ba un a yw amddiffyniad y cymar yn ddefnyddiadwy ar hyn o bryd.

Darllenwch y pedwar cyflwr cyn beio’r twnnel

Dechreuwch gyda’r rhyngwyneb a’r llwybr, yna’r cysylltiad, yna’r cymhwysiad. Mae gan bob un ei orchymyn ei hun a’i lofnod methiant ei hun. Nid yw canlyniad glân ar un haen yn ganlyniad glân ar yr un nesaf. Rhedegwch bob un o’r pedwar cyn dod i gasgliad. Anaml y mae un llinell werdd yn penderfynu unrhyw beth.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Mae rhyngwyneb â chownter sy’n codi ond heb gofnod cyflwr cyfatebol yn disgrifio traffig sy’n mynd i mewn i lwybr lle nad oes dim yn ei amddiffyn, ac mae hynny’n waeth na thwnnel sydd wedi methu yn unig. Mae cofnod cyflwr heb lwybr sy’n dewis y rhyngwyneb yn golygu bod y cryptograffeg yn barod ac heb ei ddefnyddio.

Daw’r prawf cymhwysiad yn olaf ac yn fwriadol: nid yw ping llwyddiannus i ochr arall y twnnel yn profi bod y gwasanaeth y tu ôl iddo yn derbyn cysylltiadau.

Cymharwch y cownteri mewnol â’r cownteri allanol

Mae cownteri ar ryngwyneb y twnnel yn mesur traffig mewnol; mae cownteri a chipiadau ar y rhyngwyneb ffisegol yn dangos y cyfnewid wedi’i gapsiwleiddio. Ni fydd y ddau yn cyfateb un i un, oherwydd bod capsiwleiddio’n ychwanegu penawdau, mae ail-drosglwyddiadau’n dyblygu rhai pecynnau ac mae cyfrifyddu’r gweithrediad yn dilyn ei reolau ei hun. Disgwyliwch gymhareb, nid cydraddoldeb.

Mae lleoliad y chipiad hefyd yn penderfynu pa ddata preifat rydych chi’n ei gasglu, felly defnyddiwch hidlwyr cul a chyfeiriad prawf diniwed yn lle chipiad cyflawn o draffig cynhyrchu.

Os yw’r cyfrif mewnol yn codi ac nad yw’r allanol yn codi, y cam coll fel arfer yw y llwybr neu’r polisi sy’n anfon pecynnau i’r twnnel, nid y twnnel ei hun.

Gwyliwch hyn drwy ailosod allweddi a throi drosodd pan fydd methiant

Arsylwch ailosod allweddi, digwyddiad canfod cymar marw a throi drosodd pan fydd methiant tra’n gwylio’r un pedwar cyflwr. Gall rhyngwyneb aros yn bresennol drwy ailosod allweddi na fydd byth yn gorffen, a gall troi drosodd adael cofnod cyflwr yn pwyntio at gyfeiriad cymar nad yw’n gyrraeddadwy mwyach.

Rhowch rybudd ar y llwybr gwasanaeth rydych chi wir yn dibynnu arno, gyda chyflwr y cysylltiad fel cyd-destun, yn hytrach nag ar un baner i fyny neu i lawr. Cadwch enw’r rhyngwyneb, cyfeiriad y cymar a’r llwybr yn fwrlwm y rhybudd, fel nad oes rhaid i’r sawl sy’n ymateb eu hail-greu.

Mae strongSwan yn dogfennu ei fodel rhyngwyneb XFRM ei hun, ac mae platfformau eraill yn enwi ac yn gweithredu’r gwrthrych cyfatebol yn wahanol. Darllenwch y gymhariaeth sy’n seiliedig ar lwybrau ar gyfer y ddyfais o’ch blaen cyn trosglwyddo rhagdybiaethau o weithrediad arall. Bydd templed monitro sy’n ffitio cownteri un cynhyrchydd yn camarwain yn dawel ar un arall.