વ્યસ્ત IPsec ટનલ વહેલું કેમ કી ફેરવે છે: સમય વિરુદ્ધ વોલ્યુમ મર્યાદા

લગભગ દર પચાસ મિનિટે વ્યસ્ત લિંક પરની ટનલ થોડી સેકન્ડ માટે પડી જાય છે, અને પહેલો શંકાસ્પદ ઘડિયાળ છે. સંગઠનો સમય મર્યાદા પર અથવા બાઇટ ગણતરી પર પૂરા થઈ શકે છે, અને જે સીમા પહેલી આવે તે તેમને નિવૃત્ત કરે છે. વાસ્તવિક ટ્રાફિક વહન કરતી લિંક પર, વોલ્યુમ મર્યાદા ગોઠવેલ કલાક પૂરો થવાના ઘણા સમય પહેલાં સક્રિય થઈ શકે છે. તેથી «બહુ વહેલું» એ ઘડિયાળ વિશેનું વિધાન છે, સંગઠન વિશે નહીં.

ઇન્ટરફેસ નહીં, સંગઠન શું ગણે છે તે ગણો

ઇન્ટરફેસનો કુલ બાઇટ, ડેશબોર્ડનો સંયુક્ત થ્રુપુટ અને સંગઠનનું પોતાનું કાઉન્ટર ત્રણ અલગ સંખ્યાઓ છે, અને તેમાંથી ફક્ત એક જ મર્યાદા સાથે સરખાવાય છે. આવક અને જાવક સંગઠનોને તેમના ઓળખકર્તાઓ સાથે અલગ રેકોર્ડ કરો, જેથી એક દિશાને સ્પર્શતું કી-ફેરબદલ રહસ્યને બદલે દિશાત્મક ઘટના તરીકે દેખાય. સંગઠનનું કાઉન્ટર પણ કી-ફેરબદલ પર ફરી શરૂ થાય છે, તેથી ઇન્ટરફેસમાંથી લીધેલો કુલ વધે છે જ્યારે મહત્ત્વનું મૂલ્ય રીસેટ થાય છે.

ગણતરી એક વાર કરવા યોગ્ય છે જેથી પરિમાણનો ક્રમ આડતાલુક લાગવાનું બંધ કરે. એક ગિબીબાઇટનું ગણેલું બજેટ જે મિનિટના સ્થિર 128 મેબીબાઇટ દરે વપરાય છે તે આઠ મિનિટમાં ખતમ થાય છે, અને તે એકમ રૂપાંતર છે, તમારી ટનલનું માપન નહીં. જો પરિણામી આંકડો સમય મર્યાદાથી ઘણો નીચે હોય, તો વોલ્યુમ જ કાર્યવિધિ છે અને ઘડિયાળ જોવાથી અંતરાલ સમજાશે નહીં. જો તે ઘણો ઉપર હોય, તો બાઇટ મર્યાદા તમારું ટ્રિગર નથી અને શોધ બીજે જગ્યાએ છે.

નરમ અને કઠોર થ્રેશોલ્ડ બે અલગ ઘટનાઓ છે

કઠોર મર્યાદા સંગઠન પૂરું કરવાના ઘણા સમય પહેલાં નરમ થ્રેશોલ્ડ બદલી માંગે છે, અને અમલીકરણો તમે ગોઠવ્યું તેની ઉપર પોતાના માર્જિન અને રેન્ડમાઇઝેશન ઉમેરે છે. તેથી નિરીક્ષિત અંતરાલ લગભગ કદી ગોળ સંખ્યા હોતું નથી. IPsec આર્કિટેક્ચર સમય અને બાઇટ ગણતરીમાં વ્યક્ત આયુષ્યને બે પ્રકારના થ્રેશોલ્ડ સાથે વર્ણવે છે, અને વહેલી સમાપ્તિ જ લાગુ પડે છે. એક છપાયેલા આયુષ્યને સમયપત્રક તરીકે લો તો માર્જિન જેટલું ખોટું પડશે.

અસરકારક નીતિ ફાઇલની સંખ્યામાંથી અનુમાન ન કરતા ચાલુ સ્થિતિમાંથી વાંચો, કારણ કે માર્જિન અમલીકરણનું છે, તમારા ઇરાદાનું નહીં. લક્ષણને શાંત કરવા મર્યાદાઓને તેમના મહત્તમ તરફ ખેંચવાના લોભનો પ્રતિકાર કરો: સમયપત્રક મુજબ કી ફેરવતી ટનલ ડિઝાઇન પ્રમાણે વર્તે છે, અને લાંબું આયુષ્ય ઘટનાને માત્ર મોકૂફ રાખે છે અને ચેડા થયેલી કીને વધુ સમય વપરાયોગ્ય રાખે છે. જ્યારે બદલી પોતે નિષ્ફળ જાય, ત્યારે મર્યાદા દૂત છે, દોષ નહીં.

ચાલુ સ્થિતિમાંથી અસરકારક આયુષ્ય વાંચો

strongSwan પર, swanctl --list-sas સંગઠનનો સારાંશ તેના કી-ફેરબદલ અને આયુષ્ય સમય સાથે છાપે છે, તેથી ડેમન જે મૂલ્ય લાગુ કરવા ધારે છે તે અનુમાન વિના દેખાય છે. ડેમન દૃશ્ય વિનાના Linux હોસ્ટ પર, ip xfrm state વર્તમાન કાઉન્ટરોની બાજુમાં ગોઠવેલ નરમ અને કઠોર બાઇટ અને પેકેટ મર્યાદાઓ જણાવે છે. તે બે વાંચન અલગ પ્રશ્નોના જવાબ આપે છે અને બંને ટિકિટમાં રાખવા યોગ્ય છે.

swanctl --list-sas
ip -s xfrm state

છપાયેલી નરમ થ્રેશોલ્ડને તમે માપેલા અંતરાલ સાથે સરખાવો, કારણ કે કઠોર મર્યાદાની નીચે માર્જિન સાથે શરૂ થતી બદલી સામાન્ય છે અને કદી શરૂ ન થતી બદલી નથી. જો ડેમન એક આયુષ્ય દર્શાવે અને કર્નલ સ્થિતિ બીજું, તો તમે અસહમત બે સ્તરો જોઈ રહ્યા છો, અને તે પોતે જ શોધ છે.

SA ને બદલતા આદાનપ્રદાન પર નજર રાખો

ત્રણ નવીકરણો અલગ રાખો, કારણ કે તે અલગ રીતે નિષ્ફળ જાય છે: IKE SA કી-ફેરબદલ નવું નિયંત્રણ સંગઠન બનાવે છે, CHILD SA કી-ફેરબદલ ડેટા સંગઠન બદલે છે, અને ફરી-પ્રમાણીકરણ ઓળખનું આદાનપ્રદાન પુનરાવર્તિત કરે છે. IKEv2 માં દરેક સાથી એક સહિયારું મૂલ્ય વાટાઘાટ કરવાને બદલે પોતાના આયુષ્ય નક્કી કરે છે, તેથી તમે શરૂ ન કરેલું આદાનપ્રદાન સામાન્ય છે. perfect forward secrecy ની અસંગતિ નવા child SA ચોક્કસ કી-ફેરબદલ અંતરાલ પર મરવાનું વારંવાર કારણ છે, અને કોઈ પ્રસ્તાવ વાંચે ત્યાં સુધી તે બરાબર ટાઇમર ખામી જેવું લાગે છે.

જૂના સંગઠનને તેના અનુગામી અને તેને ઉત્પન્ન કરનારા આદાનપ્રદાન સાથે સરખાવો. ઓળખકર્તાનું અદૃશ્ય થવું નિયમિત બદલી છે; નકારેલો પ્રસ્તાવ, ગેરહાજર જવાબ અથવા વપરાયોગ્ય અનુગામી સ્થિતિનો અભાવ અલગ માલિકવાળી અલગ ઘટના છે. કંઈપણ બદલતા પહેલાં તે પુરાવો સાચવો, કારણ કે આવૃત્તિ-વિશિષ્ટ નોંધો, સાથીનો પ્રસ્તાવ અને વાટાઘાટિત આયુષ્ય જ કેસને એક અઠવાડિયા પછી, લોગ ફરી ગયા પછી વાંચવા યોગ્ય બનાવે છે.

છુપાવવાને બદલે નવીકરણ સાબિત કરો

તમારી સાથે બનતી નવીકરણને બદલે તમે આયોજન કરેલા નવીકરણમાંથી પસાર થઈને તૈનાતી સ્વીકારો. જાળવણી વિન્ડોની અંદર એક કી-ફેરબદલ ફરજિયાત કરો, પછી ખાતરી કરો કે બંને દિશાઓ પછી ડેટા વહન કરે છે અને એપ્લિકેશનનું પરિણામ અપરિવર્તિત છે, ફક્ત ટનલ સૂચક લીલું છે એટલું જ નહીં. કઈ મર્યાદા સક્રિય થઈ અને કયું આદાનપ્રદાન સંકળાયેલું હતું તે નોંધો.

એવા આકારનું નિષ્કર્ષ તપાસમાં ટકે છે, જ્યારે જોડાણને એક બપોર શાંત દેખાડનારું બદલાયેલું ટાઇમર મૂલ્ય ટકતું નથી. જો ફક્ત ટાઇમર ખસ્યું હોય, તો પુરાવો તેની સાથે ખસ્યો છે.