Miks hõivatud IPsec-tunnel võtmeid vara vahetab: aja- ja mahupiirid

Umbes iga viiekümne minuti tagant kukub hõivatud lingil tunnel mõneks sekundiks välja ja esimene kahtlusalune on kell. Seosed võivad lõppeda ajapiiri või baitide arvu järgi, ja kumb piir enne saabub, see need pensionile saadab. Reaalset liiklust kandval lingil võib mahupiir rakenduda kaua enne seadistatud tunni lõppu. Nii et «liiga vara» on väide kella, mitte seose kohta.

Loendage seda, mida loendab seos, mitte liidest

Liidese baitide kogusumma, armatuurlaua koondläbilaskevõime ja seose enda loendur on kolm eraldi arvu ning ainult ühte neist võrreldakse piiriga. Registreerige sissetulev ja väljuv seos eraldi koos nende identifikaatoritega, et ühte suunda puudutav võtmevahetus ilmuks suunapõhise sündmusena, mitte mõistatusena. Seose loendur algab võtmevahetusel samuti uuesti, seepärast kasvab liideselt võetud kogusumma, samal ajal kui oluline väärtus nullitakse.

Aritmeetikat tasub korra teha, et suurusjärk lakkaks tundmast meelevaldne. Loendatud ühe gibibaidi eelarve, mida kulutatakse ühtlaselt 128 mebibaiti minutis, ammendub kaheksa minutiga ja see on ühikute teisendus, mitte teie tunneli mõõtmine. Kui tulemuseks olev arv asub ajapiirist kaugele allpool, on mehhanism maht ja mingi kellavahtimine intervalli ei selgita. Kui see asub kaugele ülalpool, ei ole baidipiir teie päästik ja otsing kuulub mujale.

Pehme ja kõva lävi on kaks erinevat sündmust

Pehme lävi palub asendust kaua enne, kui kõva piir seose lõpetab, ja teostused lisavad omad varud ning juhuslikustamise kõige selle peale, mida te seadistasite. Seetõttu ei ole vaadeldud intervall peaaegu kunagi ümar arv. IPsec-arhitektuur kirjeldab eluigasid aja ja baitide arvuna koos kahe lävitüübiga ning kehtib varasem aegumine. Kui kohtlete üht trükitud eluiga ajakavana, eksite varu võrra.

Lugege tegelikku poliitikat töötavast olekust, selle asemel et tuletada seda failis olevast arvust, sest varu kuulub teostusele, mitte teie kavatsusele. Vastustage kiusatust venitada piire maksimumini, et sümptomit vaigistada: ajakava järgi võtmeid vahetav tunnel käitub nii, nagu on projekteeritud, ja pikem eluiga ainult lükkab sündmuse edasi, hoides kompromiteeritud võtit kauem kasutatavana. Kui asendus ise ebaõnnestub, on piir sõnumitooja, mitte süü.

Lugege tegelik eluiga töötavast olekust

strongSwanis trükib swanctl --list-sas seose kokkuvõtte koos võtmevahetus- ja eluaegadega, nii et väärtus, mida deemon kavatseb kehtestada, on nähtav ilma oletusteta. Linuxi hostis ilma deemoni vaateta teatab ip xfrm state seadistatud pehmed ja kõvad baidi- ja paketipiirid praeguste loendurite kõrval. Need kaks lugemit vastavad erinevatele küsimustele ja mõlemad tasub piletisse jätta.

swanctl --list-sas
ip -s xfrm state

Võrrelge trükitud pehmet läve mõõdetud intervalliga, sest asendus, mis algab kõva piiri all oleva varuga, on normaalne, ja asendus, mis ei alga kunagi, ei ole. Kui deemon näitab üht eluiga ja kerneli olek teist, vaatate te kahte kihti, mis ei ole kooskõlas, ja see ise ongi leid.

Jälgige vahetust, mis SA-d asendab

Hoidke kolm uuendust eraldi, sest need ebaõnnestuvad erinevalt: IKE SA võtmevahetus ehitab uue juhtseose, CHILD SA võtmevahetus asendab andmeseose ja taasautentimine kordab identiteedivahetust. IKEv2-s otsustab iga osapool oma eluea üle, selle asemel et läbi rääkida üks ühine väärtus, seega vahetus, mida te ei algatanud, on tavaline. Perfect forward secrecy lahknevus on sage põhjus, miks uus child SA sureb täpselt võtmevahetuse intervallil, ja see näeb välja täpselt nagu taimeri rike, kuni keegi ettepaneku läbi loeb.

Võrrelge vana seost selle järeltulijaga ja vahetusega, mis selle tekitas. Identifikaatori kadumine on tavaline asendamine; tagasi lükatud ettepanek, puuduv vastus või kasutatava järeltulija oleku puudumine on teine sündmus teise omanikuga. Hoidke need tõendid alles enne mis tahes muudatust, sest versioonipõhised märkused, osapoole ettepanek ja läbiräägitud eluead on see, mis teeb juhtumi loetavaks nädal hiljem, pärast logide pöörlemist.

Tõestage uuendust, selle asemel et seda peita

Võtke kasutuselevõtt vastu, läbides uuenduse, mille te kavandasite, mitte sellise, mis teiega juhtub. Sundige üks võtmevahetus hooldusakna sees, seejärel kinnitage, et mõlemad suunad kannavad pärast andmeid ja rakenduse tulemus on muutumatu, mitte ainult see, et tunneli indikaator on roheline. Märkige, milline piir rakendus ja milline vahetus oli kaasatud.

Sellise kujuga järeldus peab kontrollile vastu, samas kui muudetud taimeri väärtus, mis pani ühenduse üheks pärastlõunaks vaikse paistma, ei pea. Kui liikus ainult taimer, liikusid tõendid koos sellega.