Παρακολούθηση διεπαφής σήραγγας IPsec: τι να διαβάζετε

Μια σχεδίαση IPsec βασισμένη σε διαδρομές εγκαθιστά μια εικονική διεπαφή, και αυτή η διεπαφή δίνει στην παρακολούθηση ένα συγκεκριμένο αντικείμενο: κάτι με όνομα, μετρητές και μια διαδρομή συνδεδεμένη πάνω του. Δεν είναι από μόνη της σήμα υγείας. Η διεπαφή μπορεί να υπάρχει ενώ δεν έχει εγκατασταθεί καμία χρησιμοποιήσιμη συσχέτιση, και μια συσχέτιση μπορεί να είναι υγιής ενώ καμία διαδρομή δεν στέλνει προς αυτήν την ενδιαφέρουσα κίνηση. Η ανάγνωση τεσσάρων καταστάσεων μαζί είναι αυτό που μετατρέπει έναν μετρητή πακέτων σε διάγνωση.

Περάστε τις με τη σειρά και σταματήστε στην πρώτη που αποτυγχάνει.

Τι προσθέτει η διεπαφή στην εικόνα

Σε σχεδίαση βασισμένη σε πολιτικές, η επιλογή ζει στον πίνακα πολιτικών IPsec και ο πυρήνας αποφασίζει τι προστατεύεται με βάση τους επιλογείς κίνησης. Μια σχεδίαση βασισμένη σε διαδρομές προσθέτει διεπαφή και διαδρομή, ώστε το tcpdump και οι μετρητές της διεπαφής να βλέπουν ένα σύνορο αντί για ένα σύνολο επιλογέων. Αυτό είναι πραγματικό κέρδος για τη διάγνωση και για τα πρωτόκολλα δρομολόγησης που χρειάζονται διεπαφή για peering.

Το κέρδος είναι διαχειριστικό, όχι κρυπτογραφικό. Η διεπαφή αναφέρει την κίνηση που μεταφέρει και δεν λέει τίποτα για το αν η προστασία του ομολόγου είναι χρησιμοποιήσιμη αυτή τη στιγμή.

Διαβάστε τις τέσσερις καταστάσεις πριν κατηγορήσετε τη σήραγγα

Ξεκινήστε με τη διεπαφή και τη διαδρομή, μετά με τη συσχέτιση, μετά με την εφαρμογή. Καθένα έχει τη δική του εντολή και το δικό του ίχνος αποτυχίας. Ένα καθαρό αποτέλεσμα σε ένα επίπεδο δεν είναι καθαρό αποτέλεσμα στο επόμενο. Εκτελέστε και τα τέσσερα πριν βγάλετε συμπέρασμα. Μια πράσινη γραμμή σπάνια αποφασίζει κάτι.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Μια διεπαφή με αυξανόμενο μετρητή αλλά χωρίς αντίστοιχη καταχώριση κατάστασης περιγράφει κίνηση που μπαίνει σε μια διαδρομή όπου τίποτα δεν την προστατεύει, κάτι που είναι χειρότερο από μια σήραγγα που απλώς έπεσε. Καταχώριση κατάστασης χωρίς διαδρομή που να επιλέγει τη διεπαφή σημαίνει ότι η κρυπτογραφία είναι έτοιμη και αχρησιμοποίητη.

Το τεστ εφαρμογής έρχεται τελευταίο και σκόπιμα: ένα επιτυχές ping στην άλλη πλευρά της σήραγγας δεν αποδεικνύει ότι η υπηρεσία πίσω της δέχεται συνδέσεις.

Συγκρίνετε τους εσωτερικούς μετρητές με τους εξωτερικούς

Οι μετρητές στη διεπαφή σήραγγας μετρούν την εσωτερική κίνηση· οι μετρητές και οι συλλήψεις στη φυσική διεπαφή δείχνουν την ενθυλακωμένη ανταλλαγή. Τα δύο δεν θα ταιριάξουν ένα προς ένα, επειδή η ενθυλάκωση προσθέτει κεφαλίδες, οι αναμεταδόσεις διπλασιάζουν ορισμένα πακέτα και η λογιστική της υλοποίησης ακολουθεί δικούς της κανόνες. Περιμένετε μια αναλογία, όχι ισότητα.

Η θέση της σύλληψης καθορίζει επίσης ποια ιδιωτικά δεδομένα συλλέγετε, γι’ αυτό χρησιμοποιήστε στενά φίλτρα και μια ακίνδυνη δοκιμαστική διεύθυνση αντί για πλήρη σύλληψη της κίνησης παραγωγής.

Αν οι εσωτερικοί μετρητές ανεβαίνουν και οι εξωτερικοί όχι, το βήμα που λείπει είναι συνήθως η διαδρομή ή η πολιτική που στέλνει τα πακέτα στη σήραγγα, όχι η ίδια η σήραγγα.

Παρακολουθήστε το μέσα από ανανέωση κλειδιών και εναλλαγή

Παρατηρήστε μια ανανέωση κλειδιών, ένα γεγονός ανίχνευσης νεκρού ομολόγου και μια εναλλαγή ζεύξης κρατώντας τις ίδιες τέσσερις καταστάσεις. Μια διεπαφή μπορεί να παραμένει παρούσα κατά τη διάρκεια μιας ανανέωσης κλειδιών που δεν ολοκληρώνεται ποτέ, και μια εναλλαγή μπορεί να αφήσει μια καταχώριση κατάστασης να δείχνει σε μια διεύθυνση ομολόγου που δεν είναι πλέον προσβάσιμη.

Συναγερμοποιήστε τη διαδρομή υπηρεσίας από την οποία πραγματικά εξαρτάστε, με την κατάσταση της συσχέτισης ως πλαίσιο, αντί για μία μόνο σημαία πάνω ή κάτω. Κρατήστε το όνομα της διεπαφής, τη διεύθυνση του ομολόγου και τη διαδρομή στο ωφέλιμο φορτίο του συναγερμού, ώστε όποιος ανταποκρίνεται να μην χρειάζεται να τα ανακατασκευάσει.

Το strongSwan τεκμηριώνει το δικό του μοντέλο διεπαφής XFRM, και άλλες πλατφόρμες ονομάζουν και υλοποιούν διαφορετικά το ισοδύναμο αντικείμενο. Διαβάστε τη σύγκριση βασισμένη σε διαδρομές για τη συσκευή μπροστά σας πριν μεταφέρετε παραδοχές από άλλη υλοποίηση. Ένα πρότυπο παρακολούθησης που ταιριάζει στους μετρητές ενός κατασκευαστή θα παραπλανήσει σιωπηλά σε άλλον.