Nadzor sučelja IPsec tunela: što čitati

IPsec dizajn zasnovan na rutama instalira virtualno sučelje, a to sučelje nadzoru daje konkretan objekt: nešto s imenom, brojačima i rutom vezanom uz njega. Ono samo po sebi nije signal zdravlja. Sučelje može postojati dok nije instalirana nijedna upotrebljiva asocijacija, a asocijacija može biti zdrava dok nijedna ruta ne šalje zanimljiv promet prema njoj. Upravo zajedničko čitanje četiriju stanja pretvara brojač paketa u dijagnozu.

Prođite ih redom i zaustavite se na prvome koji ne prođe.

Što sučelje dodaje slici

U dizajnu zasnovanom na pravilima odabir živi u tablici IPsec pravila, a jezgra odlučuje što se štiti na temelju selektora prometa. Dizajn zasnovan na rutama dodaje sučelje i rutu, pa tcpdump i brojači sučelja vide jednu granicu umjesto skupa selektora. To je stvarna korist za dijagnostiku i za protokole usmjeravanja kojima treba sučelje za peering.

Korist je administrativna, ne kriptografska. Sučelje izvještava o prometu koji nosi i ne govori ništa o tome je li zaštita na strani partnera trenutačno upotrebljiva.

Pročitajte četiri stanja prije nego optužite tunel

Počnite sa sučeljem i rutom, zatim s asocijacijom, zatim s aplikacijom. Svako ima svoju naredbu i svoj potpis kvara. Čist rezultat na jednoj razini nije čist rezultat na sljedećoj. Izvedite sva četiri prije nego donesete zaključak. Jedan zeleni redak rijetko što rješava.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Sučelje s brojačem koji raste, ali bez odgovarajućeg unosa stanja, opisuje promet koji ulazi na put gdje ga ništa ne štiti, što je gore od tunela koji je jednostavno pao. Unos stanja bez rute koja odabire sučelje znači da je kriptografija spremna i neiskorištena.

Test aplikacije dolazi posljednji i namjerno: uspješan ping na suprotnu stranu tunela ne dokazuje da usluga iza njega prihvaća veze.

Usporedite unutarnje brojače s vanjskima

Brojači na sučelju tunela mjere unutarnji promet; brojači i snimke na fizičkom sučelju pokazuju inkapsuliranu razmjenu. Njih dvoje neće se podudarati jedan na jedan jer inkapsulacija dodaje zaglavlja, ponovna slanja dupliciraju neke pakete, a obračun implementacije slijedi vlastita pravila. Očekujte omjer, ne jednakost.

Mjesto snimanja također odlučuje koje privatne podatke prikupljate, zato rabite uske filtre i bezopasnu testnu adresu umjesto potpune snimke produkcijskog prometa.

Ako unutarnji brojači rastu, a vanjski ne, korak koji nedostaje obično je ruta ili pravilo koje šalje pakete u tunel, a ne sam tunel.

Promatrajte to kroz obnovu ključeva i prebacivanje

Promatrajte obnovu ključeva, događaj otkrivanja mrtvog partnera i prebacivanje veze dok pratite ista četiri stanja. Sučelje može ostati prisutno tijekom obnove ključeva koja se nikada ne dovrši, a prebacivanje može ostaviti unos stanja koji pokazuje na adresu partnera koja više nije dostupna.

Alarmirajte na servisnom putu o kojem doista ovisite, sa stanjem asocijacije kao kontekstom, a ne na jednoj zastavici gore ili dolje. Zadržite ime sučelja, adresu partnera i rutu u sadržaju alarma, kako ih onaj koji reagira ne bi morao rekonstruirati.

strongSwan dokumentira vlastiti model XFRM sučelja, a druge platforme drukčije imenuju i implementiraju ekvivalentan objekt. Pročitajte usporedbu zasnovanu na rutama za uređaj pred sobom prije nego prenesete pretpostavke iz druge implementacije. Predložak za nadzor koji odgovara brojačima jednog dobavljača tiho će zavesti na drugome.