چرا تونل IPsec شلوغ زودتر کلید عوض می‌کند: محدودیت زمان در برابر حجم
محدودیت بایت می‌تواند خیلی پیش از پایان ساعت فعال شود. عمر نرم و سخت، شمارنده‌ای که انجمن استفاده می‌کند و تبادل جایگزینی را مقایسه کنید.
تقریباً هر پنجاه دقیقه، تونلی روی یک پیوند شلوغ چند ثانیه قطع می‌شود و نخستین مظنون ساعت است. انجمن‌ها می‌توانند با محدودیت زمانی یا با شمارش بایت پایان یابند و هر مرزی که اول برسد همان است که آن‌ها را بازنشسته می‌کند. روی پیوندی که ترافیک واقعی حمل می‌کند، محدودیت حجم می‌تواند خیلی پیش از پایان ساعت تنظیم‌شده فعال شود. پس «خیلی زود» سخنی درباره ساعت است، نه درباره انجمن.
آنچه انجمن می‌شمارد را بشمارید، نه رابط را
مجموع بایت رابط، توان عبوری ترکیبی یک داشبورد و شمارنده خود انجمن سه عدد جداگانه‌اند و تنها یکی از آن‌ها با محدودیت مقایسه می‌شود. انجمن ورودی و خروجی را جداگانه با شناسه‌هایشان ثبت کنید تا عوض‌شدن کلیدی که یک جهت را لمس می‌کند به‌عنوان رویدادی جهت‌دار پدیدار شود نه معما. شمارنده انجمن نیز هنگام عوض‌شدن کلید از نو آغاز می‌شود، از این رو مجموعی که از رابط گرفته می‌شود رشد می‌کند در حالی که مقدار مهم بازنشانی می‌شود.
ارزش دارد حساب را یک بار انجام دهید تا مرتبه بزرگی دیگر دلبخواه به نظر نرسد. بودجه‌ای شمارش‌شده از یک گیبی‌بایت که با آهنگ ثابت 128 مبی‌بایت در دقیقه مصرف می‌شود در هشت دقیقه تمام می‌شود و این تبدیل واحد است، نه اندازه‌گیری تونل شما. اگر رقم حاصل بسیار پایین‌تر از محدودیت زمانی باشد، حجم سازوکار است و هیچ ساعت‌نگری فاصله را توضیح نخواهد داد. اگر بسیار بالاتر باشد، محدودیت بایت محرک شما نیست و جستجو جای دیگری است.
آستانه نرم و سخت دو رویداد متفاوت‌اند
آستانه نرم مدت‌ها پیش از آنکه محدودیت سخت انجمن را پایان دهد درخواست جایگزینی می‌کند و پیاده‌سازی‌ها حاشیه و تصادفی‌سازی خود را روی آنچه پیکربندی کرده‌اید می‌افزایند. به همین دلیل فاصله مشاهده‌شده تقریباً هرگز عدد گرد نیست. معماری IPsec عمرها را برحسب زمان و شمارش بایت با دو نوع آستانه توصیف می‌کند و انقضای زودتر حاکم است. اگر یک عمر چاپ‌شده را برنامه زمانی بگیرید، به اندازه حاشیه اشتباه خواهید کرد.
سیاست مؤثر را از وضعیت در حال اجرا بخوانید نه اینکه از عددی در یک پرونده استنتاج کنید، زیرا حاشیه از آن پیاده‌سازی است نه نیت شما. در برابر کشش محدودیت‌ها به سوی بیشینه‌شان برای خاموش کردن نشانه مقاومت کنید: تونلی که طبق برنامه کلید عوض می‌کند همان‌گونه که طراحی شده رفتار می‌کند و عمر طولانی‌تر فقط رویداد را به تأخیر می‌اندازد و کلید به‌خطرافتاده را مدت بیشتری قابل استفاده نگه می‌دارد. وقتی خود جایگزینی شکست می‌خورد، محدودیت پیام‌آور است نه خطا.
عمر مؤثر را از وضعیت در حال اجرا بخوانید
روی strongSwan، swanctl --list-sas خلاصه انجمن را همراه با زمان‌های عوض‌شدن کلید و عمر چاپ می‌کند، بنابراین مقداری که دیمن می‌خواهد اعمال کند بدون حدس دیده می‌شود. روی میزبان Linux بدون نمای دیمن، ip xfrm state محدودیت‌های نرم و سخت بایت و بسته پیکربندی‌شده را کنار شمارنده‌های جاری گزارش می‌کند. این دو خوانش به پرسش‌های متفاوتی پاسخ می‌دهند و هر دو ارزش نگه‌داشتن در تیکت را دارند.
swanctl --list-sas
ip -s xfrm stateآستانه نرم چاپ‌شده را با فاصله‌ای که اندازه گرفتید مقایسه کنید، زیرا جایگزینی که با حاشیه‌ای زیر محدودیت سخت آغاز می‌شود طبیعی است و جایگزینی که هرگز آغاز نمی‌شود نیست. اگر دیمن یک عمر نشان دهد و وضعیت هسته عمری دیگر، شما به دو لایه ناسازگار نگاه می‌کنید و این خودش یافته است.
تبادلی را که SA را جایگزین می‌کند زیر نظر بگیرید
سه نوسازی را جدا نگه دارید، زیرا به شیوه‌های مختلف شکست می‌خورند: عوض‌شدن کلید IKE SA انجمن کنترلی تازه می‌سازد، عوض‌شدن کلید CHILD SA انجمن داده را جایگزین می‌کند و احراز هویت دوباره تبادل هویت را تکرار می‌کند. در IKEv2 هر همتا درباره عمرهای خودش تصمیم می‌گیرد نه اینکه بر یک مقدار مشترک مذاکره کند، پس تبادلی که شما آغاز نکرده‌اید عادی است. ناسازگاری رازداری کامل رو به جلو دلیل مکرر مرگ یک child SA تازه دقیقاً در فاصله عوض‌شدن کلید است و تا کسی پیشنهاد را نخواند دقیقاً مانند خطای تایمر به نظر می‌رسد.
انجمن قدیمی را با جانشینش و با تبادلی که آن را پدید آورد مقایسه کنید. ناپدید شدن یک شناسه جایگزینی روتین است؛ پیشنهاد ردشده، پاسخ غایب یا نبود وضعیت جانشین قابل استفاده رویدادی متفاوت با صاحب متفاوت است. آن شواهد را پیش از هر تغییری حفظ کنید، زیرا یادداشت‌های ویژه نسخه، پیشنهاد طرف مقابل و عمرهای مذاکره‌شده همان چیزی هستند که پرونده را یک هفته بعد، پس از چرخش گزارش‌ها، خواندنی می‌کنند.
نوسازی را اثبات کنید، نه پنهان
استقرار را با گذر از نوسازی‌ای که برنامه‌ریزی کرده‌اید بپذیرید، نه نوسازی‌ای که برایتان رخ می‌دهد. یک بار عوض‌شدن کلید را در پنجره نگهداری تحمیل کنید، سپس تأیید کنید که هر دو جهت پس از آن داده حمل می‌کنند و نتیجه برنامه بدون تغییر است، نه فقط اینکه نشانگر تونل سبز است. ثبت کنید کدام محدودیت فعال شد و کدام تبادل درگیر بود.
نتیجه‌ای با این شکل از بررسی جان سالم به در می‌برد، اما مقدار تایمر تغییر‌یافته‌ای که اتصال را یک بعدازظهر آرام نشان داد چنین نیست. اگر تنها تایمر جابه‌جا شد، شواهد هم با آن جابه‌جا شدند.