Miksi vilkas IPsec-tunneli vaihtaa avaimet aikaisin: aika- ja tilavuusrajat

Noin viidenkymmenen minuutin välein vilkkaan linkin tunneli putoaa muutamaksi sekunniksi, ja ensimmäinen epäilty on kello. Yhdistykset voivat päättyä aikarajaan tai tavumäärään, ja kumpi raja tulee ensin, se ne eläkkeelle lähettää. Linkillä, joka kuljettaa todellista liikennettä, tilavuusraja voi laueta kauan ennen kuin määritetty tunti on kulunut. Niinpä «liian aikaisin» on väite kellosta, ei yhdistyksestä.

Laske se, mitä yhdistys laskee, älä käyttöliittymää

Käyttöliittymän tavusumma, kojelaudan yhdistetty läpäisykyky ja yhdistyksen oma laskuri ovat kolme erillistä lukua, ja vain yhtä niistä verrataan rajaan. Kirjaa saapuva ja lähtevä yhdistys erikseen tunnisteineen, jotta yhtä suuntaa koskettava avaintenvaihto näkyy suunnallisena tapahtumana eikä arvoituksena. Yhdistyksen laskuri alkaa myös avaintenvaihdossa uudelleen, siksi käyttöliittymästä otettu summa kasvaa, kun merkityksellinen arvo nollataan.

Laskelma kannattaa tehdä kerran, jotta suuruusluokka lakkaa tuntumasta mielivaltaiselta. Laskettu yhden gibitavun budjetti, joka kulutetaan tasaisella 128 mebitavun minuuttivauhdilla, tyhjenee kahdeksassa minuutissa, ja se on yksikkömuunnos, ei tunnelisi mittaus. Jos tuloksena oleva luku on selvästi aikarajan alapuolella, mekanismi on tilavuus, eikä mikään kellon vahtaaminen selitä väliä. Jos se on selvästi sen yläpuolella, tavuraja ei ole liipaisimesi ja etsintä kuuluu muualle.

Pehmeä ja kova kynnys ovat kaksi eri tapahtumaa

Pehmeä kynnys pyytää korvausta kauan ennen kuin kova raja päättää yhdistyksen, ja toteutukset lisäävät omat marginaalinsa ja satunnaistuksensa määrittämäsi päälle. Siksi havaittu väli on tuskin koskaan pyöreä luku. IPsec-arkkitehtuuri kuvaa elinajat aikana ja tavumäärinä kahdella kynnystyypillä, ja aikaisempi päättyminen ratkaisee. Jos kohtelet yhtä tulostettua elinaikaa aikatauluna, olet väärässä marginaalin verran.

Lue tehollinen käytäntö käyntitilasta sen sijaan että päättelet sen tiedoston luvusta, koska marginaali kuuluu toteutukselle, ei aikomuksellesi. Vastusta kiusausta venyttää rajoja maksimiinsa oireen vaientamiseksi: aikataulun mukaan avaimet vaihtava tunneli käyttäytyy suunnitellusti, ja pidempi elinaika vain lykkää tapahtumaa pitäen vaarantuneen avaimen käyttökelpoisena pidempään. Kun itse korvaus epäonnistuu, raja on sanansaattaja eikä syyllinen.

Lue tehollinen elinaika käyntitilasta

strongSwanissa swanctl --list-sas tulostaa yhdistyksen yhteenvedon avaintenvaihto- ja elinaikoineen, joten arvo, jonka daemon aikoo panna täytäntöön, on nähtävissä arvailematta. Linux-isännässä ilman daemonin näkymää ip xfrm state ilmoittaa määritetyt pehmeät ja kovat tavu- ja pakettirajat nykyisten laskurien vieressä. Nämä kaksi lukemaa vastaavat eri kysymyksiin, ja molemmat kannattaa pitää tiketissä.

swanctl --list-sas
ip -s xfrm state

Vertaa tulostettua pehmeää kynnystä mittaamaasi väliin, koska kovan rajan alapuolella olevalla marginaalilla alkava korvaus on normaali, eikä koskaan alkava ole. Jos daemon näyttää yhden elinajan ja ytimen tila toisen, katselet kahta kerrosta, jotka ovat eri mieltä, ja se itsessään on löydös.

Seuraa vaihtoa, joka korvaa SA:n

Pidä kolme uudistusta erillään, koska ne epäonnistuvat eri tavoin: IKE SA:n avaintenvaihto rakentaa uuden ohjausyhdistyksen, CHILD SA:n avaintenvaihto korvaa data-yhdistyksen ja uudelleentodennus toistaa identiteettivaihdon. IKEv2:ssa kukin osapuoli päättää omat elinikänsä sen sijaan että neuvottelisi yhdestä yhteisestä arvosta, joten vaihto, jota et aloittanut, on tavallinen. Perfect forward secrecyn eroavuus on yleinen syy siihen, että uusi child SA kuolee juuri avaintenvaihtovälillä, ja se näyttää täsmälleen ajastinvialta, kunnes joku lukee ehdotuksen.

Vertaa vanhaa yhdistystä sen seuraajaan ja vaihtoon, joka sen tuotti. Tunnisteen katoaminen on rutiinikorvaus; hylätty ehdotus, puuttuva vastaus tai käyttökelpoisen seuraajatilan puuttuminen on eri tapahtuma eri omistajalla. Säilytä se todiste ennen kuin muutat mitään, koska versiokohtaiset muistiinpanot, vastapuolen ehdotus ja neuvotellut elinajat tekevät tapauksesta luettavan viikkoa myöhemmin, kun lokit ovat pyörähtäneet.

Todista uudistus sen piilottamisen sijaan

Hyväksy käyttöönotto kulkemalla suunnittelemasi uudistuksen läpi, älä sellaisen, joka sattuu kohdallesi. Pakota yksi avaintenvaihto huoltoikkunan sisällä ja vahvista sitten, että molemmat suunnat kuljettavat dataa sen jälkeen ja että sovelluksen tulos on ennallaan, ei vain että tunnelin ilmaisin on vihreä. Kirjaa, mikä raja laukesi ja mikä vaihto oli mukana.

Sen muotoinen johtopäätös kestää tarkastelun, mutta muutettu ajastinarvo, joka sai yhteyden näyttämään iltapäivän ajan rauhalliselta, ei kestä. Jos vain ajastin liikkui, todisteet liikkuivat sen mukana.