IPsec-tunnelin rajapinnan valvonta: mitä lukea

Reittipohjainen IPsec-suunnittelu asentaa virtuaalisen rajapinnan, ja se rajapinta antaa valvonnalle konkreettisen kohteen: jotain, jolla on nimi, laskurit ja siihen liittyvä reitti. Se ei ole itsessään terveyden signaali. Rajapinta voi olla olemassa, vaikka käyttökelpoista assosiaatiota ei ole asennettu, ja assosiaatio voi olla terve, vaikka mikään reitti ei lähetä kiinnostavaa liikennettä sitä kohti. Juuri neljän tilan lukeminen yhdessä tekee pakettilaskurista diagnoosin.

Käy ne läpi järjestyksessä ja pysähdy ensimmäiseen, joka epäonnistuu.

Mitä rajapinta lisää kuvaan

Käytäntöpohjaisessa suunnittelussa valinta asuu IPsec-käytäntötaulussa ja ydin päättää liikennevalitsimien perusteella, mitä suojataan. Reittipohjainen suunnittelu lisää rajapinnan ja reitin, joten tcpdump ja rajapintalaskurit näkevät yhden rajan valitsinjoukon sijaan. Se on todellinen hyöty diagnostiikalle ja reititysprotokollille, jotka tarvitsevat rajapinnan peeringiä varten.

Hyöty on hallinnollinen, ei salauksellinen. Rajapinta raportoi kuljettamansa liikenteen eikä kerro mitään siitä, onko vastapuolen suojaus juuri nyt käyttökelpoinen.

Lue neljä tilaa ennen kuin syytät tunnelia

Aloita rajapinnasta ja reitistä, sitten assosiaatiosta, sitten sovelluksesta. Jokaisella on oma komentonsa ja oma vikamerkkinsä. Puhdas tulos yhdellä kerroksella ei ole puhdas tulos seuraavalla. Suorita kaikki neljä ennen johtopäätöstä. Yksi vihreä rivi ratkaisee harvoin mitään.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Rajapinta, jonka laskuri kasvaa mutta jolla ei ole vastaavaa tilamerkintää, kuvaa liikennettä, joka tulee polulle, jossa mikään ei suojaa sitä, mikä on pahempaa kuin yksinkertaisesti alas oleva tunneli. Tilamerkintä ilman reittiä, joka valitsee rajapinnan, tarkoittaa, että salaus on valmis ja käyttämätön.

Sovellustesti tulee viimeisenä ja tarkoituksella: onnistunut ping tunnelin toiselle puolelle ei todista, että sen takana oleva palvelu hyväksyy yhteyksiä.

Vertaa sisäisiä laskureita ulkoisiin

Tunnelirajapinnan laskurit mittaavat sisäistä liikennettä; fyysisen rajapinnan laskurit ja kaappaukset näyttävät kapseloidun vaihdon. Nämä kaksi eivät täsmää yksi yhteen, koska kapselointi lisää otsakkeita, uudelleenlähetykset kopioivat osan paketeista ja toteutuksen kirjanpito noudattaa omia sääntöjään. Odota suhdetta, älä yhtäläisyyttä.

Kaappauksen sijoittelu ratkaisee myös, mitä yksityisiä tietoja keräät, joten käytä kapeita suodattimia ja vaaratonta testiosoitetta tuotantoliikenteen täyden kaappauksen sijaan.

Jos sisäiset laskurit kasvavat eivätkä ulkoiset, puuttuva askel on yleensä reitti tai käytäntö, joka lähettää paketit tunneliin, ei itse tunneli.

Seuraa sitä avainten uusimisen ja siirtymisen läpi

Tarkkaile avainten uusimista, kuolleen vastapuolen havaitsemistapahtumaa ja linkin siirtymistä samalla kun seuraat samoja neljää tilaa. Rajapinta voi pysyä olemassa avainten uusimisen ajan, joka ei koskaan valmistu, ja siirtyminen voi jättää tilamerkinnän osoittamaan vastapuolen osoitteeseen, joka ei ole enää tavoitettavissa.

Hälytä palvelupolusta, josta todella riippuu, assosiaation tila kontekstina, älä yksittäisestä ylös- tai alas-lipusta. Pidä rajapinnan nimi, vastapuolen osoite ja reitti hälytyksen hyötykuormassa, jotta vastaajan ei tarvitse rakentaa niitä uudelleen.

strongSwan dokumentoi oman XFRM-rajapintamallinsa, ja muut alustat nimeävät ja toteuttavat vastaavan objektin eri tavoin. Lue reittipohjainen vertailu edessäsi olevalle laitteelle ennen kuin siirrät oletuksia toisesta toteutuksesta. Valvontamalli, joka sopii yhden toimittajan laskureille, johtaa hiljaa harhaan toisen kohdalla.