Observi IPsec-tunelan interfacon: kion legi
XFRM-interfaco donas nombrilojn kaj itinero-limojn, sed sano bezonas la SA-staton, la elektitan itineron kaj aplikaĵan kontrolon legatajn kune.
IPsec-aranĝo bazita sur itineroj instalas virtualan interfacon, kaj tiu interfaco donas al la observado konkretan objekton: ion kun nomo, nombriloj kaj al ĝi ligita itinero. Ĝi mem ne estas san-signalo. La interfaco povas ekzisti dum neniu uzebla asocio estas instalita, kaj asocio povas esti sana dum neniu itinero sendas la interesan trafikon al ĝi. Legi kvar statojn kune estas tio, kio transformas pakaĵnombrilon en diagnozon.
Trairu ilin laŭvice kaj haltu ĉe la unua, kiu malsukcesas.
Kion la interfaco aldonas al la bildo
En politiko-bazita aranĝo, la elekto loĝas en la IPsec-politika tabelo kaj la kerno decidas, kio estas protektata surbaze de trafik-selektiloj. Itinero-bazita aranĝo aldonas interfacon kaj itineron, do tcpdump kaj interfacaj nombriloj vidas unu limon anstataŭ aron da selektiloj. Tio estas vera gajno por diagnozo kaj por enkursigaj protokoloj, kiuj bezonas interfacon por peeri.
La gajno estas administra, ne kriptografia. La interfaco raportas la trafikon, kiun ĝi portas, kaj diras nenion pri tio, ĉu la protekto de la partnero estas nuntempe uzebla.
Legu la kvar statojn antaŭ ol kulpigi la tunelon
Komencu per la interfaco kaj la itinero, poste la asocio, poste la aplikaĵo. Ĉiu havas sian propran komandon kaj sian propran fiaskan subskribon. Pura rezulto ĉe unu tavolo ne estas pura rezulto ĉe la sekva. Rulu ĉiujn kvar antaŭ ol konkludi. Unu verda linio malofte decidas ion.
ip -s link show xfrm0 ip route get 10.20.30.40 ip xfrm state ip xfrm policy swanctl --list-sas tcpdump -ni xfrm0 -c 20 host 10.20.30.40
Interfaco kun kreskanta nombrilo sed sen responda stat-entajro priskribas trafikon, kiu eniras vojon, kie nenio protektas ĝin, kaj tio estas pli malbona ol tunelo, kiu simple estas malsupra. Stat-entajro sen itinero, kiu elektas la interfacon, signifas, ke la kriptografio estas preta kaj neuzata.
La aplikaĵa testo venas laste kaj intence: sukcesa ping al la alia flanko de la tunelo ne pruvas, ke la servo malantaŭ ĝi akceptas konektojn.
Komparu la internajn nombrilojn kun la eksteraj
Nombriloj ĉe la tunela interfaco mezuras internan trafikon; nombriloj kaj kaptaĵoj ĉe la fizika interfaco montras la enkapsuligitan interŝanĝon. La du ne kongruos unu al unu, ĉar enkapsuligo aldonas kapliniojn, retransmetoj duobligas iujn pakaĵojn kaj la librotenado de la efektivigo sekvas proprajn regulojn. Atendu proporcion, ne egalecon.
La loko de la kaptaĵo ankaŭ decidas, kiujn privatajn datumojn vi kolektas, do uzu mallarĝajn filtrilojn kaj sendanĝeran testan adreson anstataŭ plenan kaptaĵon de produktada trafiko.
Se la internaj nombroj kreskas kaj la eksteraj ne, la mankanta paŝo kutime estas la itinero aŭ la politiko, kiu sendas pakaĵojn en la tunelon, ne la tunelo mem.
Observu ĝin tra ŝlosila renovigo kaj malsukcesa transiro
Observu ŝlosilan renovigon, eventon de eltrovo de morta partnero kaj malsukcesan transiron de ligilo, dum vi observas la samajn kvar statojn. Interfaco povas resti ĉeesta dum ŝlosila renovigo, kiu neniam finiĝas, kaj malsukcesa transiro povas lasi stat-entajron montrantan al partnera adreso, kiu ne plu estas atingebla.
Alarmu pri la servo-vojo, de kiu vi vere dependas, kun la asocia stato kiel kunteksto, anstataŭ pri unu sola supra aŭ malsupra flago. Konservu la interfacan nomon, la partneran adreson kaj la itineron en la alarmo-ŝarĝo, por ke la respondanto ne devu rekonstrui ilin.
strongSwan dokumentas sian propran XFRM-interfacan modelon, kaj aliaj platformoj nomas kaj efektivigas la ekvivalentan objekton alimaniere. Legu la itinero-bazitan komparon por la aparato antaŭ vi antaŭ ol transdoni supozojn el alia efektivigo. Observa ŝablono, kiu taŭgas por la nombriloj de unu vendanto, silente misgvidos ĉe alia.