پایش رابط تونل IPsec: چه چیزی را بخوانیم

طراحی IPsec مبتنی بر مسیر یک رابط مجازی نصب می‌کند، و این رابط به پایش یک شیء مشخص می‌دهد: چیزی با نام، شمارنده‌ها و مسیری که به آن متصل است. این به‌تنهایی سیگنال سلامت نیست. رابط می‌تواند وجود داشته باشد در حالی که هیچ انجمن قابل استفاده‌ای نصب نشده است، و انجمن می‌تواند سالم باشد در حالی که هیچ مسیری ترافیک موردنظر را به آن نمی‌فرستد. خواندن چهار وضعیت با هم چیزی است که شمارنده بسته را به تشخیص تبدیل می‌کند.

به‌ترتیب آن‌ها را بررسی کنید و در اولین وضعیتی که شکست می‌خورد بایستید.

رابط چه چیزی به تصویر می‌افزاید

در طراحی مبتنی بر سیاست، انتخاب در جدول سیاست‌های IPsec زندگی می‌کند و هسته بر اساس انتخاب‌گرهای ترافیک تصمیم می‌گیرد چه چیزی محافظت شود. طراحی مبتنی بر مسیر یک رابط و یک مسیر می‌افزاید، بنابراین tcpdump و شمارنده‌های رابط یک مرز را می‌بینند نه مجموعه‌ای از انتخاب‌گرها. این یک سود واقعی برای تشخیص و برای پروتکل‌های مسیریابی است که به رابطی برای peering نیاز دارند.

این سود اداری است، نه رمزنگاری. رابط درباره ترافیکی که حمل می‌کند گزارش می‌دهد و هیچ چیزی درباره این که محافظت طرف مقابل اکنون قابل استفاده است یا نه نمی‌گوید.

پیش از سرزنش تونل، چهار وضعیت را بخوانید

با رابط و مسیر شروع کنید، سپس انجمن، سپس برنامه. هر یک فرمان خودش و امضای شکست خودش را دارد. نتیجه پاک در یک لایه، نتیجه پاک در لایه بعد نیست. پیش از نتیجه‌گیری هر چهار را اجرا کنید. یک خط سبز به‌ندرت چیزی را روشن می‌کند.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

رابطی که شمارنده‌اش بالا می‌رود اما ورودی وضعیت متناظر ندارد، ترافیکی را توصیف می‌کند که به مسیری وارد می‌شود که چیزی از آن محافظت نمی‌کند، و این بدتر از تونلی است که صرفاً پایین است. ورودی وضعیت بدون مسیری که رابط را انتخاب کند یعنی رمزنگاری آماده و بی‌استفاده است.

آزمون برنامه آخر و به‌عمد می‌آید: ping موفق به طرف دیگر تونل اثبات نمی‌کند که سرویس پشت آن اتصال‌ها را می‌پذیرد.

شمارنده‌های درونی را با شمارنده‌های بیرونی مقایسه کنید

شمارنده‌های روی رابط تونل ترافیک درونی را می‌سنجند؛ شمارنده‌ها و ضبط‌های روی رابط فیزیکی تبادل کپسوله‌شده را نشان می‌دهند. این دو یکی‌به‌یکی مطابقت نخواهند داشت، چون کپسوله‌سازی سرآیند اضافه می‌کند، ارسال‌های مجدد برخی بسته‌ها را دو بار می‌کنند و حساب‌داری پیاده‌سازی از قواعد خودش پیروی می‌کند. انتظار نسبت داشته باشید، نه برابری.

محل ضبط همچنین تعیین می‌کند چه داده‌های خصوصی جمع‌آوری می‌کنید، پس از فیلترهای باریک و یک نشانی آزمایشی بی‌خطر به‌جای ضبط کامل ترافیک تولیدی استفاده کنید.

اگر شمارنده‌های درونی بالا بروند و بیرونی‌ها نه، گام گمشده معمولاً مسیر یا سیاستی است که بسته‌ها را به تونل می‌فرستد، نه خود تونل.

آن را در طول تجدید کلید و جابه‌جایی دنبال کنید

یک تجدید کلید، یک رویداد تشخیص همتای مرده و یک جابه‌جایی پیوند را در حالی که همان چهار وضعیت را می‌پایید مشاهده کنید. رابط می‌تواند در طول تجدید کلیدی که هرگز کامل نمی‌شود باقی بماند، و یک جابه‌جایی می‌تواند ورودی وضعیت را به نشانی همتایی اشاره‌گر بگذارد که دیگر در دسترس نیست.

درباره همان مسیر سرویسی که واقعاً به آن وابسته‌اید هشدار بدهید، با وضعیت انجمن به‌عنوان زمینه، نه درباره یک پرچم بالا یا پایین. نام رابط، نشانی همتا و مسیر را در بار داده هشدار نگه دارید تا پاسخ‌دهنده مجبور به بازسازی آن‌ها نباشد.

strongSwan مدل رابط XFRM خودش را مستند می‌کند، و پلتفرم‌های دیگر شیء معادل را متفاوت نام‌گذاری و پیاده‌سازی می‌کنند. پیش از انتقال فرض‌ها از پیاده‌سازی دیگر، مقایسه مبتنی بر مسیر را برای دستگاهی که پیش روی شماست بخوانید. الگوی پایشی که به شمارنده‌های یک سازنده می‌خورد، در سازنده دیگر بی‌صدا گمراه می‌کند.