Wêrom in drokke IPsec-tunnel betiid kaaiferfangt: tiid- en folumegrinzen

Sawat alle fyftich minuten falt in tunnel op in drokke keppeling in pear sekonden út, en de earste fertochte is de klok. Assosjaasjes kinne einige op in tiidgrins of op in bytetelling, en hokker grins it earst komt, is dejinge dy’t har mei pinsjoen stjoert. Op in keppeling dy’t echt ferkear draacht, kin in folumegrins lang foar’t it ynstelde oere om is, ôfgean. Dat «te betiid» is in útspraak oer de klok, net oer de assosjaasje.

Tel wat de assosjaasje telt, net de ynterface

In bytetotaal fan in ynterface, in kombinearre trochstream fan in dashboard en de eigen teller fan ’e assosjaasje binne trije aparte getallen, en mar ien fan har wurdt mei de grins ferlike. Registrearje de ynkommende en útgeande assosjaasje apart mei harren identifiers, sadat in kaaiwiksel dy’t ien rjochting rekket as in rjochtingsbarren ferskynt yn stee fan in riedsel. De teller fan ’e assosjaasje begjint by kaaiwiksel ek op ’e nij, dêrom groeit in totaal dat fan ’e ynterface nommen is wylst de wearde dy’t ta docht weromset wurdt.

De rekken is it wurdich ien kear te dwaan, sadat de oarder fan grutte ophâldt willekeurich te fielen. In telle budzjet fan ien gibibyte dat mei in stadige 128 mebibyte yn ’e minút útput wurdt, is yn acht minuten op, en dat is in ienheidsomsetting, net in mjitting fan jo tunnel. As it resultearjende getal fier ûnder de tiidgrins leit, is folume it meganisme en gjin klokbesjoch sil it ynterval ferklearje. As it fier derboppe leit, is de bytegrins net jo ôfsjitter en heart it sykjen earnewêr.

Sêfte en hurde drompel binne twa ferskillende barrens

In sêfte drompel freget om ferfanging lang foar’t de hurde grins de assosjaasje einiget, en ymplemintaasjes lizze har eigen marzjes en randomisaasje boppe-op wat jo konfigurearre hawwe. Dêrom is it waarnommen ynterval hast nea in rûn getal. IPsec-arsjitektuer beskriuwt libbensdoeren útdrukt yn tiid en bytetellingen mei de twa soarten drompels, en it ierste ferrin jildt. As jo ien printe libbensdoer as in skema behannelje, sille jo der de marzje nêst sitte.

Lês it effektive belied út ’e rinnende tastân yn stee fan it út in getal yn in bestân ôf te lieden, want de marzje heart by de ymplemintaasje, net by jo bedoeling. Wjerstean de oanstriid om grinzen nei har maksimum te rekken om it symptoom stil te meitsjen: in tunnel dy’t neffens skema kaaiferfangt, docht sa’t er ûntwurpen is, en in langere libbensdoer stelt it barren allinnich út wylst in kompromittearre kaai langer brûkber bliuwt. As de ferfanging sels mislearret, is de grins de boadskipper en net de skuld.

Lês de effektive libbensdoer út ’e rinnende tastân

Op strongSwan prints swanctl --list-sas it oersjoch fan ’e assosjaasje mei syn kaaiwiksel- en libbensdoeren, sadat de wearde dy’t de daemon fan plan is te hanthavenjen sûnder rieden te sjen is. Op in Linux-host sûnder daemonbyld rapportearret ip xfrm state de konfigurearre sêfte en hurde byte- en pakketgrinzen nêst de hjoeddeistige tellers. Dy twa lêzingen beantwurdzje ferskillende fragen en beide binne it wurdich yn it ticket te bliuwen.

swanctl --list-sas
ip -s xfrm state

Ferlykje de printe sêfte drompel mei it ynterval dat jo metten hawwe, want in ferfanging dy’t begjint mei in marzje ûnder de hurde grins is normaal, en ien dy’t nea begjint net. As de daemon ien libbensdoer toant en de kerntastân in oare, sjogge jo nei twa lagen dy’t it net iens binne, en dat is sels de fynst.

Hâld de útwikseling yn ’e gaten dy’t de SA ferfangt

Hâld de trije fernijingen apart, want se mislearje op ferskillende wizen: in kaaiwiksel fan IKE SA bout in nije kontrôle-assosjaasje, in kaaiwiksel fan CHILD SA ferfangt de data-assosjaasje, en weryntliking werhellet de identiteitsútwikseling. Yn IKEv2 beslút elke peer oer syn eigen libbensdoeren yn stee fan ien mienskiplike wearde te ûnderhanneljen, dus in útwikseling dy’t jo net begûn binne, is gewoan. In mieningferskil oer perfect forward secrecy is in faak foarkommende reden dat in nije child SA krekt op it kaaiwikselynterval stjert, en it liket krekt as in timermislear oant immen it foarstel lêst.

Ferlykje de âlde assosjaasje mei har opfolger en mei de útwikseling dy’t har makke hat. In identifier dy’t ferdwynt is routineferfanging; in wegere foarstel, in ûntbrekkend antwurd of it ûntbrekken fan in brûkbere opfolgerstastân is in oare barren mei in oare eigner. Bewarje dat bewiis foar’t jo wat feroarje, want de ferzjespesifike notysjes, it foarstel fan ’e peer en de ûnderhannele libbensdoeren binne wat de saak in wike letter lêsber makket, nei’t de logs rûn hawwe.

Bewiis de fernijing yn stee fan har te ferbergjen

Akseptearje de útrôl troch in fernijing te trochgean dy’t jo pland hawwe, net ien dy’t jo oerkomt. Twang ien kaaiwiksel binnen in ûnderhâldsfinsters, befêstigje dan dat beide rjochtingen dêrnei data drage en dat it resultaat fan ’e tapassing ûnferoare is, net allinnich dat de tunnelindikator grien is. Skriuw op hokker grins ôfgien is en hokker útwikseling belutsen wie.

In konklúzje fan dy foarm oerlibbet de kontrôle, wylst in feroare timerwearde dy’t de ferbining in middei rêstich lykje liet, dat net docht. As allinnich de timer ferpleatst is, binne de bewiizen dermei ferpleatst.