व्यस्त IPsec टनल समय से पहले कुंजी क्यों बदलता है: समय बनाम आयतन सीमाएँ

लगभग हर पचास मिनट में व्यस्त लिंक पर एक टनल कुछ सेकंड के लिए गिर जाती है, और पहला संदिग्ध घड़ी है। संघ समय सीमा पर या बाइट गणना पर समाप्त हो सकते हैं, और जो सीमा पहले आती है वही उन्हें सेवानिवृत्त करती है। वास्तविक ट्रैफ़िक ले जाने वाले लिंक पर आयतन सीमा निर्धारित घंटा पूरा होने से बहुत पहले सक्रिय हो सकती है। इसलिए «बहुत जल्दी» घड़ी के बारे में कथन है, संघ के बारे में नहीं।

जो संघ गिनता है वह गिनें, इंटरफ़ेस नहीं

इंटरफ़ेस का कुल बाइट, डैशबोर्ड का संयुक्त थ्रूपुट और संघ का अपना काउंटर तीन अलग संख्याएँ हैं, और उनमें से केवल एक की तुलना सीमा से होती है। आने वाले और जाने वाले संघों को उनके पहचानकर्ताओं के साथ अलग-अलग दर्ज करें, ताकि एक दिशा को छूने वाला कुंजी परिवर्तन रहस्य के बजाय दिशात्मक घटना के रूप में दिखे। संघ का काउंटर भी कुंजी परिवर्तन पर फिर से शुरू होता है, इसलिए इंटरफ़ेस से लिया गया कुल बढ़ता है जबकि मायने रखने वाला मान रीसेट हो जाता है।

गणना एक बार करने योग्य है ताकि परिमाण का क्रम मनमाना लगना बंद कर दे। एक गिबीबाइट का गिना हुआ बजट जो प्रति मिनट स्थिर 128 मेबीबाइट की दर से खर्च होता है, आठ मिनट में खत्म हो जाता है, और यह इकाई रूपांतरण है, आपकी टनल का माप नहीं। यदि परिणामी आंकड़ा समय सीमा से बहुत नीचे है, तो आयतन ही तंत्र है और घड़ी देखने से अंतराल समझ नहीं आएगा। यदि वह बहुत ऊपर है, तो बाइट सीमा आपका ट्रिगर नहीं है और खोज कहीं और है।

नरम और कठोर थ्रेशोल्ड दो अलग घटनाएँ हैं

नरम थ्रेशोल्ड कठोर सीमा के संघ समाप्त करने से बहुत पहले प्रतिस्थापन मांगता है, और कार्यान्वयन आपके द्वारा कॉन्फ़िगर किए गए के ऊपर अपने मार्जिन और यादृच्छिकरण जोड़ते हैं। इसलिए देखा गया अंतराल लगभग कभी गोल संख्या नहीं होता। IPsec आर्किटेक्चर जीवनकाल को समय और बाइट गणना के रूप में दो प्रकार के थ्रेशोल्ड के साथ बताता है, और पहले समाप्त होने वाला ही मान्य है। यदि आप एक मुद्रित आयु को समय-सारिणी मानेंगे, तो मार्जिन के बराबर गलत होंगे।

प्रभावी नीति को फ़ाइल में किसी संख्या से अनुमान लगाने के बजाय चालू स्थिति से पढ़ें, क्योंकि मार्जिन कार्यान्वयन का है, आपके इरादे का नहीं। लक्षण को शांत करने के लिए सीमाओं को उनके अधिकतम तक खींचने के लोभ का विरोध करें: समय-सारिणी के अनुसार कुंजी बदलने वाली टनल डिज़ाइन के अनुसार व्यवहार कर रही है, और लंबी आयु घटना को केवल टालती है जबकि समझौता की गई कुंजी को अधिक समय तक उपयोगी रखती है। जब प्रतिस्थापन स्वयं विफल होता है, तो सीमा संदेशवाहक है, दोष नहीं।

प्रभावी आयु चालू स्थिति से पढ़ें

strongSwan पर, swanctl --list-sas संघ का सारांश उसके कुंजी-परिवर्तन और आयु समयों के साथ छापता है, इसलिए डेमन जो मान लागू करना चाहता है वह अनुमान के बिना दिखता है। डेमन दृश्य के बिना Linux होस्ट पर, ip xfrm state वर्तमान काउंटरों के बगल में कॉन्फ़िगर की गई नरम और कठोर बाइट और पैकेट सीमाएँ बताता है। वे दो रीडिंग अलग प्रश्नों का उत्तर देती हैं और दोनों टिकट में रखने योग्य हैं।

swanctl --list-sas
ip -s xfrm state

मुद्रित नरम थ्रेशोल्ड की तुलना उस अंतराल से करें जो आपने मापा, क्योंकि कठोर सीमा के नीचे मार्जिन से शुरू होने वाला प्रतिस्थापन सामान्य है और कभी शुरू न होने वाला नहीं। यदि डेमन एक आयु दिखाता है और कर्नेल स्थिति दूसरी, तो आप दो असंगत परतें देख रहे हैं, और यही स्वयं निष्कर्ष है।

उस विनिमय पर नज़र रखें जो SA को बदलता है

तीन नवीनीकरण को अलग रखें, क्योंकि वे अलग तरह से विफल होते हैं: IKE SA कुंजी परिवर्तन नया नियंत्रण संघ बनाता है, CHILD SA कुंजी परिवर्तन डेटा संघ बदलता है, और पुनःप्रमाणीकरण पहचान विनिमय दोहराता है। IKEv2 में प्रत्येक साथी एक साझा मान पर बातचीत करने के बजाय अपनी आयु स्वयं तय करता है, इसलिए जो विनिमय आपने शुरू नहीं किया वह सामान्य है। perfect forward secrecy की असंगति नई child SA के ठीक कुंजी-परिवर्तन अंतराल पर मरने का लगातार कारण है, और जब तक कोई प्रस्ताव नहीं पढ़ता तब तक यह ठीक टाइमर खराबी जैसा दिखता है।

पुराने संघ की तुलना उसके उत्तराधिकारी और उसे उत्पन्न करने वाले विनिमय से करें। पहचानकर्ता का गायब होना नियमित प्रतिस्थापन है; अस्वीकृत प्रस्ताव, अनुपस्थित उत्तर या उपयोगी उत्तराधिकारी स्थिति का अभाव अलग स्वामी वाली अलग घटना है। कुछ भी बदलने से पहले वह साक्ष्य सुरक्षित रखें, क्योंकि संस्करण-विशिष्ट टिप्पणियाँ, साथी का प्रस्ताव और बातचीत की गई आयु ही मामले को एक सप्ताह बाद, लॉग घूमने के बाद पढ़ने योग्य बनाती हैं।

छिपाने के बजाय नवीनीकरण साबित करें

तैनाती को अपने साथ होने वाले नवीनीकरण के बजाय अपने द्वारा योजनाबद्ध नवीनीकरण से गुज़रकर स्वीकार करें। रखरखाव विंडो के भीतर एक बार कुंजी परिवर्तन को बाध्य करें, फिर पुष्टि करें कि बाद में दोनों दिशाएँ डेटा ले जाती हैं और अनुप्रयोग का परिणाम अपरिवर्तित है, केवल यह नहीं कि टनल सूचक हरा है। दर्ज करें कि कौन सी सीमा सक्रिय हुई और कौन सा विनिमय शामिल था।

उस आकार का निष्कर्ष जाँच में टिकता है, जबकि वह बदला हुआ टाइमर मान जिसने कनेक्शन को एक दोपहर शांत दिखाया, नहीं टिकता। यदि केवल टाइमर हिला, तो साक्ष्य उसके साथ हिला।