IPsec टनल इंटरफ़ेस की निगरानी: क्या पढ़ें

रूट-आधारित IPsec डिज़ाइन एक वर्चुअल इंटरफ़ेस स्थापित करता है, और यह इंटरफ़ेस निगरानी को एक ठोस वस्तु देता है: कुछ ऐसा जिसका नाम, काउंटर और उससे जुड़ा रूट हो। यह अपने आप में स्वास्थ्य संकेत नहीं है। इंटरफ़ेस तब भी मौजूद रह सकता है जब कोई उपयोगी एसोसिएशन स्थापित न हो, और एसोसिएशन स्वस्थ हो सकती है जबकि कोई रूट रुचि का ट्रैफ़िक उसकी ओर न भेजे। चार स्थितियों को एक साथ पढ़ना ही पैकेट काउंटर को निदान में बदलता है।

इन्हें क्रम से देखें और पहली असफल स्थिति पर रुकें।

इंटरफ़ेस तस्वीर में क्या जोड़ता है

नीति-आधारित डिज़ाइन में चयन IPsec नीति तालिका में रहता है और कर्नेल ट्रैफ़िक चयनकर्ताओं के आधार पर तय करता है कि क्या संरक्षित होगा। रूट-आधारित डिज़ाइन एक इंटरफ़ेस और एक रूट जोड़ता है, इसलिए tcpdump और इंटरफ़ेस काउंटर चयनकर्ताओं के समूह के बजाय एक सीमा देखते हैं। यह निदान और उन रूटिंग प्रोटोकॉल के लिए वास्तविक लाभ है जिन्हें peering के लिए इंटरफ़ेस चाहिए।

लाभ प्रशासनिक है, क्रिप्टोग्राफ़िक नहीं। इंटरफ़ेस उस ट्रैफ़िक की रिपोर्ट करता है जो वह ले जाता है और इस बारे में कुछ नहीं कहता कि साथी की सुरक्षा इस समय उपयोगी है या नहीं।

टनल को दोष देने से पहले चार स्थितियाँ पढ़ें

इंटरफ़ेस और रूट से शुरू करें, फिर एसोसिएशन, फिर एप्लिकेशन। हर एक का अपना कमांड और अपना विफलता-हस्ताक्षर है। एक परत पर साफ़ परिणाम अगली परत पर साफ़ परिणाम नहीं है। निष्कर्ष निकालने से पहले चारों चलाएँ। एक हरी पंक्ति शायद ही कभी कुछ तय करती है।

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

जिस इंटरफ़ेस का काउंटर बढ़ रहा है पर कोई मेल खाती स्थिति प्रविष्टि नहीं है, वह ऐसा ट्रैफ़िक बताता है जो ऐसे पथ में प्रवेश कर रहा है जहाँ कुछ भी उसकी रक्षा नहीं कर रहा, और यह केवल बंद टनल से बुरा है। बिना रूट वाली स्थिति प्रविष्टि जो इंटरफ़ेस चुनती हो, का अर्थ है कि क्रिप्टोग्राफ़ी तैयार है और अप्रयुक्त है।

एप्लिकेशन परीक्षण जानबूझकर अंत में आता है: टनल के दूसरी ओर सफल ping यह साबित नहीं करता कि उसके पीछे की सेवा कनेक्शन स्वीकार करती है।

आंतरिक काउंटरों की बाहरी काउंटरों से तुलना करें

टनल इंटरफ़ेस पर काउंटर आंतरिक ट्रैफ़िक मापते हैं; भौतिक इंटरफ़ेस पर काउंटर और कैप्चर encapsulated अदला-बदली दिखाते हैं। दोनों एक-के-बदले-एक नहीं मिलेंगे, क्योंकि encapsulation शीर्षलेख जोड़ता है, पुनःप्रसारण कुछ पैकेटों की नकल करते हैं और implementation का हिसाब अपने नियमों पर चलता है। अनुपात की अपेक्षा रखें, समानता की नहीं।

कैप्चर का स्थान यह भी तय करता है कि आप कौन-सा निजी डेटा एकत्र करते हैं, इसलिए उत्पादन ट्रैफ़िक के पूर्ण कैप्चर के बजाय संकीर्ण फ़िल्टर और एक हानिरहित परीक्षण पता उपयोग करें।

यदि आंतरिक गणनाएँ बढ़ें और बाहरी न बढ़ें, तो छूटा हुआ चरण आमतौर पर वह रूट या नीति है जो पैकेटों को टनल में भेजती है, न कि टनल स्वयं।

कुंजी नवीनीकरण और फ़ेलओवर के दौरान इसे देखें

उन्हीं चार स्थितियों पर नज़र रखते हुए कुंजी नवीनीकरण, मृत साथी की पहचान की घटना और लिंक फ़ेलओवर देखें। इंटरफ़ेस ऐसे कुंजी नवीनीकरण के दौरान भी मौजूद रह सकता है जो कभी पूरा न हो, और फ़ेलओवर स्थिति प्रविष्टि को ऐसे साथी पते की ओर इशारा करता छोड़ सकता है जो अब पहुँच योग्य नहीं है।

उस सेवा पथ पर चेतावनी दें जिस पर आप वास्तव में निर्भर हैं, एसोसिएशन की स्थिति को संदर्भ के रूप में लेकर, न कि किसी एक ऊपर या नीचे फ़्लैग पर। इंटरफ़ेस का नाम, साथी का पता और रूट चेतावनी के पेलोड में रखें, ताकि उत्तर देने वाले को उन्हें फिर से बनाना न पड़े।

strongSwan अपना XFRM इंटरफ़ेस मॉडल दस्तावेज़ करता है, और अन्य प्लेटफ़ॉर्म समतुल्य वस्तु को अलग ढंग से नाम और लागू करते हैं। किसी दूसरे implementation से धारणाएँ स्थानांतरित करने से पहले अपने सामने मौजूद डिवाइस के लिए रूट-आधारित तुलना पढ़ें। एक विक्रेता के काउंटरों पर फ़िट होने वाला निगरानी टेम्पलेट दूसरे पर चुपचाप भटकाएगा।