IPsec ટનલ ઇન્ટરફેસની દેખરેખ: શું વાંચવું

રૂટ-આધારિત IPsec ડિઝાઇન વર્ચ્યુઅલ ઇન્ટરફેસ ઇન્સ્ટોલ કરે છે, અને આ ઇન્ટરફેસ દેખરેખને એક ઠોસ વસ્તુ આપે છે: નામ, કાઉન્ટર અને તેની સાથે જોડાયેલ રૂટ ધરાવતી વસ્તુ. તે પોતે જ આરોગ્ય સંકેત નથી. ઇન્ટરફેસ ત્યારે પણ અસ્તિત્વમાં હોઈ શકે છે જ્યારે કોઈ ઉપયોગી એસોસિએશન ઇન્સ્ટોલ ન હોય, અને એસોસિએશન સ્વસ્થ હોઈ શકે છે જ્યારે કોઈ રૂટ રસનો ટ્રાફિક તેની તરફ ન મોકલે. ચાર સ્થિતિઓને એકસાથે વાંચવું જ પેકેટ કાઉન્ટરને નિદાનમાં ફેરવે છે.

આને ક્રમમાં જુઓ અને પ્રથમ નિષ્ફળ સ્થિતિ પર થોભો.

ઇન્ટરફેસ ચિત્રમાં શું ઉમેરે છે

નીતિ-આધારિત ડિઝાઇનમાં પસંદગી IPsec નીતિ કોષ્ટકમાં રહે છે અને કર્નલ ટ્રાફિક સિલેક્ટરના આધારે નક્કી કરે છે કે શું સુરક્ષિત થશે. રૂટ-આધારિત ડિઝાઇન ઇન્ટરફેસ અને રૂટ ઉમેરે છે, તેથી tcpdump અને ઇન્ટરફેસ કાઉન્ટર સિલેક્ટરના સમૂહને બદલે એક સીમા જુએ છે. આ નિદાન માટે અને peering માટે ઇન્ટરફેસ જરૂરી હોય તેવા રાઉટિંગ પ્રોટોકોલ માટે સાચો લાભ છે.

લાભ વહીવટી છે, ક્રિપ્ટોગ્રાફિક નથી. ઇન્ટરફેસ પોતે વહન કરતા ટ્રાફિકનો અહેવાલ આપે છે અને સાથીની સુરક્ષા અત્યારે ઉપયોગી છે કે નહીં તે વિશે કંઈ કહેતું નથી.

ટનલને દોષ આપતા પહેલા ચાર સ્થિતિઓ વાંચો

ઇન્ટરફેસ અને રૂટથી શરૂ કરો, પછી એસોસિએશન, પછી એપ્લિકેશન. દરેકનો પોતાનો આદેશ અને પોતાની નિષ્ફળતાની સહી છે. એક સ્તર પર સ્વચ્છ પરિણામ આગલા સ્તર પર સ્વચ્છ પરિણામ નથી. નિષ્કર્ષ કાઢતા પહેલા ચારેય ચલાવો. એક લીલી લીટી ભાગ્યે જ કંઈ નક્કી કરે છે.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

જે ઇન્ટરફેસનું કાઉન્ટર વધી રહ્યું છે પણ મેળ ખાતી સ્થિતિ એન્ટ્રી નથી, તે એવા ટ્રાફિકનું વર્ણન કરે છે જે એવા માર્ગમાં પ્રવેશ કરે છે જ્યાં કંઈ પણ તેનું રક્ષણ કરતું નથી, અને આ ફક્ત બંધ ટનલ કરતાં ખરાબ છે. રૂટ વગરની સ્થિતિ એન્ટ્રી જે ઇન્ટરફેસ પસંદ કરે, તેનો અર્થ છે ક્રિપ્ટોગ્રાફી તૈયાર છે અને અવપ્રયુક્ત છે.

એપ્લિકેશન પરીક્ષણ જાણી જોઈને અંતમાં આવે છે: ટનલની બીજી બાજુ સફળ ping સાબિત કરતું નથી કે તેની પાછળની સેવા જોડાણો સ્વીકારે છે.

આંતરિક કાઉન્ટરની બાહ્ય કાઉન્ટર સાથે સરખામણી કરો

ટનલ ઇન્ટરફેસ પરના કાઉન્ટર આંતરિક ટ્રાફિક માપે છે; ભૌતિક ઇન્ટરફેસ પરના કાઉન્ટર અને કેપ્ચર encapsulated આદાન-પ્રદાન દર્શાવે છે. આ બે એક-એ-એક મળશે નહીં, કારણ કે encapsulation હેડર ઉમેરે છે, પુનઃપ્રેષણ કેટલાક પેકેટની નકલ કરે છે અને implementationનું હિસાબ પોતાના નિયમો પર ચાલે છે. ગુણોત્તરની અપેક્ષા રાખો, સમાનતાની નહીં.

કેપ્ચરનું સ્થાન એ પણ નક્કી કરે છે કે તમે કયો ખાનગી ડેટા એકત્ર કરો છો, તેથી ઉત્પાદન ટ્રાફિકના સંપૂર્ણ કેપ્ચરને બદલે સાંકડા ફિલ્ટર અને એક હાનિરહિત પરીક્ષણ સરનામું વાપરો.

જો આંતરિક ગણતરી વધે અને બાહ્ય ન વધે, તો ખૂટતું પગલું સામાન્ય રીતે એ રૂટ કે નીતિ છે જે પેકેટ ટનલમાં મોકલે છે, ટનલ પોતે નહીં.

કી નવીકરણ અને ફેલઓવર દરમિયાન તેને જુઓ

તે જ ચાર સ્થિતિઓ પર નજર રાખતા કી નવીકરણ, મૃત સાથીની ઓળખની ઘટના અને લિંક ફેલઓવર જુઓ. ઇન્ટરફેસ એવા કી નવીકરણ દરમિયાન પણ હાજર રહી શકે છે જે ક્યારેય પૂર્ણ થતું નથી, અને ફેલઓવર સ્થિતિ એન્ટ્રીને હવે પહોંચી ન શકાય તેવા સાથી સરનામા તરફ ઈશારો કરતી છોડી શકે છે.

તમે ખરેખર જેના પર નિર્ભર છો તે સેવા માર્ગ પર ચેતવણી આપો, એસોસિએશનની સ્થિતિને સંદર્ભ તરીકે લઈને, કોઈ એક ઉપર કે નીચે ધ્વજ પર નહીં. ઇન્ટરફેસનું નામ, સાથીનું સરનામું અને રૂટ ચેતવણીના પેલોડમાં રાખો, જેથી જવાબ આપનારને તે ફરી બનાવવા ન પડે.

strongSwan પોતાનું XFRM ઇન્ટરફેસ મોડેલ દસ્તાવેજ કરે છે, અને અન્ય પ્લેટફોર્મ સમતુલ્ય વસ્તુને અલગ રીતે નામ આપે છે અને અમલમાં મૂકે છે. બીજા implementationમાંથી ધારણાઓ ખસેડતા પહેલા તમારી સામેની ડિવાઇસ માટે રૂટ-આધારિત સરખામણી વાંચો. એક વેન્ડરના કાઉન્ટર પર ફિટ થતું મોનિટરિંગ ટેમ્પલેટ બીજા પર શાંતિથી ભ્રમિત કરશે.