IPsec-tunneli liidese jälgimine: mida lugeda

Marsruudipõhine IPsec-kavand paigaldab virtuaalse liidese ja see liides annab jälgimisele konkreetse objekti: midagi, millel on nimi, loendurid ja sellega seotud marsruut. See iseenesest ei ole tervisesignaal. Liides võib eksisteerida, kui ühtegi kasutatavat seost pole paigaldatud, ja seos võib olla terve, kui ükski marsruut ei saada huvipakkuvat liiklust selle suunas. Just nelja oleku koos lugemine muudab paketiloenduri diagnoosiks.

Käige need järjekorras läbi ja peatuge esimese juures, mis ebaõnnestub.

Mida liides pildile lisab

Poliitikapõhises kavandis elab valik IPsec-i poliitikatabelis ja tuum otsustab liiklusvalijate põhjal, mida kaitstakse. Marsruudipõhine kavand lisab liidese ja marsruudi, nii et tcpdump ja liidese loendurid näevad ühte piiri valijate kogumi asemel. See on tõeline võit diagnoosimisele ja marsruutimisprotokollidele, mis vajavad liidest peeringu jaoks.

Võit on halduslik, mitte krüptograafiline. Liides teatab liiklusest, mida ta kannab, ega ütle midagi selle kohta, kas partneri kaitse on praegu kasutatav.

Lugege neli olekut enne, kui tunneli süüdistate

Alustage liidesest ja marsruudist, seejärel seosest, seejärel rakendusest. Igal on oma käsk ja oma rikke tunnus. Puhas tulemus ühel kihil ei ole puhas tulemus järgmisel. Käivitage kõik neli enne järelduse tegemist. Üks roheline rida otsustab harva midagi.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Liides, mille loendur kasvab, kuid millel puudub vastav olekukirje, kirjeldab liiklust, mis siseneb teele, kus miski seda ei kaitse, mis on hullem kui lihtsalt maas olev tunnel. Olekukirje ilma marsruudita, mis liidest valiks, tähendab, et krüptograafia on valmis ja kasutamata.

Rakenduse test tuleb viimasena ja meelega: edukas ping tunneli teisele poole ei tõesta, et selle taga olev teenus ühendusi vastu võtab.

Võrrelge sisemisi loendureid välimistega

Tunneli liidese loendurid mõõdavad sisemist liiklust; füüsilise liidese loendurid ja salvestised näitavad kapseldatud vahetust. Need kaks ei lange üks-ühele kokku, sest kapseldamine lisab päiseid, kordussaadetised dubleerivad osa pakette ja implementatsiooni arvestus järgib oma reegleid. Oodake suhet, mitte võrdsust.

Salvestise asukoht otsustab ka, milliseid isikuandmeid kogute, seega kasutage kitsaid filtreid ja kahjutut testaadressi, mitte tootmisliikluse täielikku salvestist.

Kui sisemised loendurid kasvavad ja välimised mitte, on puuduv samm tavaliselt marsruut või poliitika, mis saadab paketid tunnelisse, mitte tunnel ise.

Jälgige seda võtmete uuendamise ja ümberlülituse ajal

Jälgige võtmete uuendamist, surnud partneri tuvastamise sündmust ja lingi ümberlülitust, jälgides samal ajal samu nelja olekut. Liides võib jääda püsima võtmete uuendamise ajal, mis kunagi ei lõpe, ja ümberlülitus võib jätta olekukirje, mis osutab partneri aadressile, mis pole enam kättesaadav.

Häiresignaalige teenuseteel, millest te tegelikult sõltute, koos seose olekuga kontekstina, mitte ühe üles- või allalipu peale. Hoidke liidese nimi, partneri aadress ja marsruut häire kasulikus koormuses, et reageerija ei peaks neid uuesti looma.

strongSwan dokumenteerib oma XFRM-liidese mudeli ja teised platvormid nimetavad ja rakendavad samaväärset objekti erinevalt. Lugege marsruudipõhist võrdlust teie ees oleva seadme kohta enne, kui kannate üle eeldusi teisest implementatsioonist. Jälgimismall, mis sobib ühe tarnija loenduritele, eksitab teise puhul vaikselt.