Zergatik IPsec tunel lanpetu batek gakoak goiz berritzen dituen: denbora eta bolumen mugak

Berrogeita hamar minutuero gutxi gorabehera, esteka lanpetu bateko tunel bat segundo batzuetarako erortzen da, eta lehen susmagarria erlojua da. Asoziazioak denbora-muga batekin edo byte-kontaketarekin amaitu daitezke, eta zein muga iritsi lehenago, hark erretiratzen ditu. Trafiko erreala daraman esteka batean, bolumen-muga bat askoz lehenago piztu daiteke konfiguratutako ordua amaitu baino. Beraz, «goizegi» erlojuari buruzko baieztapena da, ez asoziazioari buruzkoa.

Zenbatu asoziazioak zenbatzen duena, ez interfazea

Interfaze baten byte guztizkoa, panel baten baterako emaria eta asoziazioaren beraren kontagailua hiru zenbaki bereizi dira, eta horietako bat soilik alderatzen da mugarekin. Erregistratu sarrera- eta irteera-asoziazioak bereiz, haien identifikatzaileekin, norabide bakarrari ukitzen dion gako-berritze bat misterio bat izan beharrean norabide-gertaera gisa ager dadin. Asoziazioaren kontagailua ere berritzen da gako-berritzean, horregatik interfazetik hartutako guztizkoak gora egiten du garrantzia duen balioa berrezartzen den bitartean.

Merezi du aritmetika behin egitea magnitude-ordena arbitrarioa izateari uzteko. Minutuko 128 mebibyteko erritmo aldaezinarekin agortzen den gibibyte bateko aurrekontu zenbatua zortzi minututan amaitzen da, eta hori unitate-bihurketa da, ez zure tunelaren neurketa. Lortutako zifra denbora-mugatik oso behera badago, bolumena da mekanismoa eta erlojuari begiratzeak ez du tartea azalduko. Haren oso gainetik badago, byte-muga ez da zure abiarazlea eta bilaketa beste leku batera dagokio.

Atalase biguna eta gogorra bi gertaera desberdin dira

Atalase bigunak ordezkapen bat eskatzen du muga gogorrak asoziazioa amaitu baino askoz lehenago, eta inplementazioek beren marjinak eta ausazkatzea gehitzen dizkiote konfiguratu duzunari. Horregatik behatutako tartea ia inoiz ez da zenbaki biribila. IPsec arkitektura bizitza erabilgarriak denboran eta byte-kontaketetan adierazita deskribatzen ditu, bi atalase motekin, eta lehenago iraungitzeak agintzen du. Inprimatutako bizitza erabilgarri bat egutegitzat hartzen baduzu, marjinaren tamainan huts egingo duzu.

Irakurri politika eraginkorra exekuzio-egoeratik, fitxategi bateko zenbaki batetik ondorioztatu beharrean, marjina inplementazioarena delako, ez zure asmoarena. Egin aurre mugak gehienezko baliora luzatzeko tentazioari sintoma isilarazteko: egutegiaren arabera gakoak aldatzen dituen tunel bat diseinatuta bezala ari da, eta bizitza erabilgarri luzeagoak gertaera atzeratzeaz gain, konprometitutako gako bat denbora luzeagoan erabilgarri uzten du. Ordezkapenak berak huts egiten duenean, muga mezularia da, ez errua.

Irakurri bizitza erabilgarri eraginkorra exekuzio-egoeratik

strongSwanen, swanctl --list-sas tresnak asoziazioaren laburpena inprimatzen du gako-berritze eta bizitza-denborak barne, beraz deabruak ezarri nahi duen balioa asmatu gabe ikus daiteke. Deabruaren ikuspegirik gabeko Linux ostalari batean, ip xfrm state tresnak konfiguratutako byte- eta pakete-muga bigunak eta gogorrak jakinarazten ditu uneko kontagailuen ondoan. Irakurketa horiek bi galdera desberdini erantzuten diete eta biak merezi dute txartelean gordetzea.

swanctl --list-sas
ip -s xfrm state

Konparatu inprimatutako atalase biguna neurtu duzun tartearekin, muga gogorraren azpiko marjina batekin hasten den ordezkapena normala delako, eta inoiz hasten ez dena ez delako. Deabruak bizitza erabilgarri bat eta kernelaren egoerak beste bat erakusten baditu, bat ez datozen bi geruza ikusten ari zara, eta hori bera da aurkikuntza.

Begiratu SA ordezkatzen duen trukea

Eduki hiru berritzeak bereizita, modu desberdinetan huts egiten dutelako: IKE SAren gako-berritzeak kontrol-asoziazio berri bat eraikitzen du, CHILD SAren gako-berritzeak datu-asoziazioa ordezkatzen du, eta berrautaketak identitate-trukea errepikatzen du. IKEv2n alde bakoitzak bere bizitza erabilgarriak erabakitzen ditu balio partekatu bakarra negoziatu beharrean, beraz zu hasi ez duzun truke bat arrunta da. Perfect forward secrecy-ren desadostasuna child SA berri bat gako-berritze tartean bertan hiltzeko arrazoi ohikoa da, eta tenporizadorearen hutsegite baten itxura zehatza du norbaitek proposamena irakurri arte.

Konparatu asoziazio zaharra bere ondorengoarekin eta sortu zuen trukearekin. Identifikatzaile bat desagertzea ohiko ordezkapena da; proposamen baztertu bat, erantzun falta bat edo ondorengo egoera erabilgarririk eza beste jabe bat duen beste gertaera bat da. Gorde froga hori ezer aldatu aurretik, bertsioaren berariazko oharrak, bikotearen proposamena eta negoziatutako bizitza erabilgarriak direlako kasua astebete geroago irakurgarri egiten dutenak, erregistroak biratu ondoren.

Frogatu berritzea ezkutatu beharrean

Onartu inplementazioa planifikatu duzun berritze batetik igaroz, gertatzen zaizun batetik igaro beharrean. Behartu gako-berritze bakarra mantentze-leiho baten barruan, gero egiaztatu norabide biek datuak daramatzatela ondoren eta aplikazioaren emaitza aldatu gabe dagoela, ez soilik tunelaren adierazlea berdea dela. Erregistratu zein muga piztu zen eta zein truke egon zen tartean.

Forma horretako ondorio batek azterketa gainditzen du, baina konexioa arratsalde batez lasai itxuraz utzi zuen tenporizadore-balio aldatuak ez. Tenporizadorea soilik mugitu bazen, frogak berarekin mugitu dira.