Miért vált kulcsot korán egy forgalmas IPsec-alagút: idő- és mennyiségi korlátok

Nagyjából ötvenpercenként egy forgalmas kapcsolat alagútja néhány másodpercre kiesik, és az első gyanúsított az óra. Az asszociációk időkorláton vagy bájtszámon érhetnek véget, és amelyik határ előbb érkezik, az vonja nyugdíjba őket. Valódi forgalmat vivő kapcsolaton a mennyiségi korlát jóval a beállított óra lejárta előtt életbe léphet. Tehát a „túl korai” az órára vonatkozó állítás, nem az asszociációra.

Azt számolja, amit az asszociáció számol, ne az interfészt

Egy interfész bájtösszege, egy műszerfal egyesített átbocsátása és az asszociáció saját számlálója három különálló szám, és csak az egyiket vetik össze a korláttal. A bejövő és a kimenő asszociációt külön rögzítse az azonosítóikkal, hogy az egy irányt érintő kulcsváltás irányfüggő eseményként jelenjen meg, ne rejtélyként. Az asszociáció számlálója is újraindul kulcsváltáskor, ezért az interfészről vett összeg nő, miközben a lényeges érték nullázódik.

A számítást érdemes egyszer elvégezni, hogy a nagyságrend ne tűnjön önkényesnek. Egy gibibájtos számolt büdzsé, amelyet percenként egyenletes 128 mebibájt ütemben használnak fel, nyolc perc alatt elfogy, és ez mértékegység-átváltás, nem az alagút mérése. Ha a kapott szám jóval az időkorlát alatt van, a mennyiség a mechanizmus, és semmilyen órafürkészés nem magyarázza meg az intervallumot. Ha jóval fölötte van, a bájthatár nem az Ön kiváltója, és a keresés máshová tartozik.

A lágy és a kemény küszöb két különböző esemény

A lágy küszöb jóval azelőtt kér cserét, hogy a kemény határ lezárná az asszociációt, és a megvalósítások saját tartalékokat és véletlenszerűsítést rétegeznek arra, amit beállított. Ezért a megfigyelt intervallum szinte soha nem kerek szám. IPsec-architektúra az időben és bájtszámban kifejezett élettartamokat írja le a két küszöbtípussal, és a korábbi lejárat az irányadó. Ha egy nyomtatott élettartamot menetrendként kezel, a tartalék mértékével téved.

A tényleges szabályzatot a futó állapotból olvassa ki, ne egy fájlban lévő számból következtessen rá, mert a tartalék a megvalósításé, nem az Ön szándékáé. Álljon ellen a kísértésnek, hogy a korlátokat a maximumuk felé feszítse a tünet elhallgattatására: a menetrend szerint kulcsot váltó alagút úgy viselkedik, ahogy tervezték, és a hosszabb élettartam csak elhalasztja az eseményt, miközben egy kompromittált kulcsot tovább tart használhatóan. Amikor maga a csere sikertelen, a korlát a hírnök, nem a hiba.

A tényleges élettartamot a futó állapotból olvassa ki

strongSwanon a swanctl --list-sas kinyomtatja az asszociáció összefoglalóját a kulcsváltási és élettartam-idejével, így a démon által érvényesíteni kívánt érték találgatás nélkül látható. Daemon-nézet nélküli Linux-gazdagépen a ip xfrm state a beállított lágy és kemény bájt- és csomagkorlátokat jelenti a jelenlegi számlálók mellett. Ez a két leolvasás különböző kérdésekre válaszol, és mindkettőt érdemes a jegyben tartani.

swanctl --list-sas
ip -s xfrm state

Hasonlítsa össze a kinyomtatott lágy küszöböt a mért intervallummal, mert a kemény határ alatti tartalékkal induló csere normális, a soha el nem induló pedig nem. Ha a démon egy élettartamot mutat, a kernel állapota pedig egy másikat, két nem egyező réteget lát, és ez önmagában a lelet.

Figyelje a cserét, amely az SA-t leváltja

Tartsa külön a három megújítást, mert különböző módon vallanak kudarcot: az IKE SA kulcsváltása új vezérlő asszociációt épít, a CHILD SA kulcsváltása lecseréli az adat-asszociációt, az újrahitelesítés pedig megismétli az identitáscserét. Az IKEv2-ben minden fél a saját élettartamáról dönt, ahelyett hogy egy közös értékről tárgyalna, így az Ön által nem kezdeményezett csere rendes dolog. A perfect forward secrecy eltérése gyakori oka annak, hogy egy új child SA pontosan a kulcsváltási intervallumban hal meg, és pontosan időzítőhibának látszik, amíg valaki el nem olvassa a javaslatot.

Hasonlítsa össze a régi asszociációt az utódjával és azzal a cserével, amely létrehozta. Egy azonosító eltűnése rutinszerű csere; egy elutasított javaslat, egy hiányzó válasz vagy a használható utódállapot hiánya más esemény, más gazdával. Őrizze meg ezt a bizonyítékot, mielőtt bármit módosítana, mert a verzióspecifikus jegyzetek, a partner javaslata és a kialkudott élettartamok teszik a heti késéssel, a naplók rotálódása után is olvashatóvá az esetet.

Bizonyítsa a megújítást ahelyett, hogy elrejtené

A bevezetést úgy fogadja el, hogy egy tervezett megújításon megy keresztül, nem pedig egy olyanon, amely csak megtörténik. Kényszerítsen ki egyetlen kulcsváltást egy karbantartási ablakon belül, majd igazolja, hogy utána mindkét irány visz adatot, és az alkalmazás eredménye változatlan, nem csupán az, hogy az alagút jelzője zöld. Jegyezze fel, melyik korlát lépett életbe, és melyik csere vett részt benne.

Az ilyen alakú következtetés kiállja a vizsgálatot, a megváltoztatott időzítőérték viszont nem, amely egy délutánra csendesnek mutatta a kapcsolatot. Ha csak az időzítő mozdult el, a bizonyíték is vele mozdult.