In IPsec-tunnelinterface monitorje: wat jo lêze moatte

In rûtebasearre IPsec-ûntwerp ynstallearret in firtuele interface, en dy interface jout it monitoaren in konkreet objekt: eat mei in namme, tellers en in rûte dy’t dêroan ferbûn is. It is op himsels gjin sûnenssinjaal. De interface kin bestean wylst der gjin brûkbere assosjaasje ynstallearre is, en in assosjaasje kin sûn wêze wylst gjin rûte it ynteressante ferkear dy kant út stjoert. It is fjouwer tastannen tegearre lêze dat in pakketeller yn in diagnoaze feroaret.

Wurkje se yn oarder troch en stop by de earste dy’t mislearret.

Wat de interface oan it byld tafoeget

By in beliedsbasearre ûntwerp libbet de seleksje yn ’e IPsec-beliedstabel en de kernel beslút wat beskerme wurdt op grûn fan ferkearsselektors. In rûtebasearre ûntwerp foeget in interface en in rûte ta, sadat tcpdump en interfacetellers ien grins sjogge ynstee fan in set selektors. Dat is in echte winst foar diagnoaze en foar routingprotokollen dy’t in interface nedich hawwe om oer te pearen.

De winst is administratyf, net kryptografysk. De interface rapportearret it ferkear dat er draacht en seit neat oer oft de beskerming fan ’e peer op dit stuit brûkber is.

Lês de fjouwer tastannen foardat jo de tunnel de skuld jouwe

Begjin mei de interface en de rûte, dan de assosjaasje, dan de applikaasje. Elk hat syn eigen kommando en syn eigen faalsignatuer. In skjin resultaat op ien laach is gjin skjin resultaat op ’e folgjende. Fier alle fjouwer út foardat jo in konklúzje lûke. Ien griene rigel beslist selden eat.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

In interface mei in stigende teller mar sûnder byhearrende tastânsynfier beskriuwt ferkear dat in paad ynkomt dêr’t neat it beskermet, wat slimmer is as in tunnel dy’t gewoan del is. In tastânsynfier sûnder rûte dy’t de interface selektearret, betsjut dat de kryptografy klear en ûnbrûkt is.

De applikaasjetest komt as lêste en mei opsetsin: in slagge ping nei de oare kant fan ’e tunnel bewiist net dat de tsjinst dêrefter ferbiningen akseptearret.

Fergelykje binnenste tellers mei bûtenste tellers

Tellers op ’e tunnelinterface mjitte binnenferkear; tellers en opnames op ’e fysike interface litte de ynkapselle útwikseling sjen. De twa sille net ien op ien oerienkomme, om’t ynkapseling headers tafoeget, werhellings guon pakketten duplisearje en de boekhâlding fan ’e ymplemintaasje eigen regels folget. Ferwachtsje in ferhâlding, gjin gelikens.

De lizzing fan ’e opname beslút ek hokker priveegegevens jo sammelje, dus brûk nauwe filters en in ûnsklik testadres ynstee fan in folsleine opname fan produksjeferkear.

As de binnenste tellers stige en de bûtenste net, is de ûntbrekkende stap meast de rûte of it belied dat pakketten de tunnel yn stjoert, net de tunnel sels.

Folgje it troch rekey en failover

Observearje in rekey, in barren fan dead-peer-deteksje en in linkfailover wylst jo deselde fjouwer tastannen yn ’e gaten hâlde. In interface kin oanwêzich bliuwe by in rekey dy’t nea foltôget, en in failover kin in tastânsynfier efterlitte dy’t wiist nei in peeradres dat net mear berikber is.

Alarmearje op it tsjinstpaad dêr’t jo echt fan ôfhinklik binne, mei de assosjaasjestatus as kontekst, ynstee fan op ien inkelde up- of down-flagge. Hâld de interfacename, it peeradres en de rûte yn ’e alarmpayload, sadat dejinge dy’t reagearret se net opnij hoecht te bouwen.

strongSwan dokumintearret syn eigen XFRM-interfacemodel, en oare platfoarms neame en ymplementearje it lykweardige objekt oars. Lês de rûtebasearre fergeliking foar it apparaat dat foar jo stiet foardat jo oannames fan in oare ymplemintaasje oernimme. In monitoringsjabloan dat by de tellers fan ien leveransier past, sil by in oare stil misliede.