IPsec tunelaren interfazea gainbegiratzea: zer irakurri

Bideetan oinarritutako IPsec diseinu batek interfaze birtual bat instalatzen du, eta interfaze horrek zerbait zehatza ematen dio gainbegiratzeari: izena, kontagailuak eta berari lotutako bidea dituen zerbait. Berez ez da osasun seinale bat. Interfazea egon daiteke erabilgarria den asoziaziorik instalatu gabe, eta asoziazioa osasuntsu egon daiteke inongo bidek intereseko trafikoa hara bidaltzen ez duenean. Lau egoera batera irakurtzeak bihurtzen du pakete-kontagailua diagnostiko.

Egin horien bidea ordenan eta gelditu huts egiten duen lehenengoan.

Zer gehitzen dion interfazeak irudiari

Politiketan oinarritutako diseinu batean, hautaketa IPsec politika-taularen barruan bizi da eta kernelek erabakitzen du zer babesten den trafiko-hautatzaileen arabera. Bideetan oinarritutako diseinuak interfaze bat eta bide bat gehitzen ditu, beraz tcpdump-ek eta interfazearen kontagailuek muga bakarra ikusten dute hautatzaile multzo baten ordez. Irabazi erreala da diagnosirako eta peering egiteko interfazea behar duten bideratze-protokoloei.

Irabazia administratiboa da, ez kriptografikoa. Interfazeak daraman trafikoaren berri ematen du eta ez du ezer esaten beste aldearen babesa orain erabilgarria den ala ez.

Irakurri lau egoerak tunela errudun egin aurretik

Hasi interfazearekin eta bidearekin, gero asoziazioarekin, gero aplikazioarekin. Bakoitzak bere komandoa eta bere hutsegite-aztarna ditu. Geruza bateko emaitza garbia ez da hurrengoko emaitza garbia. Exekutatu laurak ondorioa atera aurretik. Lerro berde batek gutxitan erabakitzen du ezer.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Kontagailua igotzen ari den baina dagokion egoera-sarrerarik ez duen interfaze batek ezer babesten ez duen bide batera sartzen den trafikoa deskribatzen du, eta hori erori besterik egin ez duen tunel bat baino okerragoa da. Interfazea hautatzen duen biderik gabeko egoera-sarrera batek kriptografia prest eta erabili gabe dagoela esan nahi du.

Aplikazioaren proba azkena da eta nahita: tuneletik bestaldeko ping arrakastatsu batek ez du frogatzen atzeko zerbitzuak konexioak onartzen dituenik.

Konparatu barneko kontagailuak kanpokoekin

Tunelaren interfazeko kontagailuek barneko trafikoa neurtzen dute; interfaze fisikoko kontagailuek eta kapturek truke kapsulatua erakusten dute. Biak ez dira bat-bat etorriko, kapsulatzeak goialdeak gehitzen dituelako, birbidaltzeek pakete batzuk bikoizten dituztelako eta inplementazioaren kontabilitateak bere arauak jarraitzen dituelako. Espero proportzio bat, ez berdintasuna.

Kapturaren kokapenak zein datu pribatu biltzen dituzun ere erabakitzen du, beraz erabili iragazki estu bat eta proba-helbide kaltegabe bat ekoizpen-trafikoaren kaptura osoaren ordez.

Barneko kontuak igotzen badira eta kanpokoak ez, falta den urratsa normalean paketeak tunelera bidaltzen dituen bidea edo politika da, ez tunela bera.

Jarraitu giltzen berritzean eta failoverrean zehar

Behatu giltzen berritze bat, bikote hilaren detekzio gertaera bat eta estekaren failover bat lau egoera berak gainbegiratuz. Interfazea egon daiteke inoiz amaitzen ez den giltzen berritze batean zehar, eta failover batek egoera-sarrera bat utz dezake jada irisgarria ez den bikote-helbide batera seinalatuz.

Alarma eman benetan menpe zauden zerbitzu-bidean, asoziazioaren egoera testuinguru gisa hartuta, ez gora edo beherako bandera bakar batean. Gorde interfazearen izena, bikotearen helbidea eta bidea alarmaren kargean, erantzuten duenak berreraiki behar ez ditzan.

strongSwan-ek bere XFRM interfaze-eredua dokumentatzen du, eta beste plataformek modu ezberdinean izendatzen eta inplementatzen dute objektu baliokidea. Irakurri bideetan oinarritutako konparazioa zure aurrean duzun gailuarentzat, beste inplementazio batetik hipotesiak eraman aurretik. Hornitzaile baten kontagailuetara egokitzen den gainbegiratze-txantiloi batek isilka engainatuko du beste batean.