Ինչու զբաղված IPsec թունելը վաղ է փոխում բանալիները՝ ժամանակի և ծավալի սահմաններ

Մոտավորապես ամեն հիսուն րոպեն մեկ զբաղված կապուղու թունելը մի քանի վայրկյան ընկնում է, և առաջին կասկածյալը ժամացույցն է։ Ասոցիացիաները կարող են ավարտվել ժամանակի սահմանով կամ բայթերի հաշվով, և ո՛ր սահմանն առաջինը գա, այն էլ նրանց թոշակի է ուղարկում։ Իրական թրաֆիկ կրող կապուղու վրա ծավալի սահմանը կարող է գործարկվել կարգավորված ժամը լրանալուց շատ առաջ։ Այսինքն՝ «շատ վաղ» ասույթը ժամացույցի մասին է, ոչ թե ասոցիացիայի։

Հաշվեք այն, ինչ հաշվում է ասոցիացիան, ոչ թե ինտերֆեյսը

Ինտերֆեյսի բայթերի ընդհանուր գումարը, վահանակի համակցված թողունակությունը և ասոցիացիայի սեփական հաշվիչը երեք առանձին թվեր են, և դրանցից միայն մեկն է համեմատվում սահմանի հետ։ Գրանցեք մուտքային և ելքային ասոցիացիաներն առանձին՝ իրենց նույնացուցիչներով, որպեսզի մեկ ուղղությանը դիպչող բանալու փոխարինումը երևա որպես ուղղորդված իրադարձություն, այլ ոչ թե առեղծված։ Ասոցիացիայի հաշվիչը նույնպես նորից սկսվում է բանալու փոխարինման ժամանակ, դրա համար էլ ինտերֆեյսից վերցված գումարը աճում է, մինչ կարևոր արժեքը զրոյացվում է։

Արժե հաշվարկը մեկ անգամ անել, որպեսզի մեծության կարգը դադարի կամայական թվալ։ Մեկ գիբիբայթի հաշվարկված բյուջեն, որը ծախսվում է րոպեում կայուն 128 մեբիբայթով, սպառվում է ութ րոպեում, և դա միավորների փոխարկում է, ոչ թե ձեր թունելի չափում։ Եթե ստացված թիվը ժամանակի սահմանից շատ ցածր է, մեխանիզմը ծավալն է, և ժամացույցին նայելը չի բացատրի ինտերվալը։ Եթե այն շատ բարձր է, բայթի սահմանը ձեր գործարկիչը չէ, և որոնումը պատկանում է այլ տեղ։

Մեղմ և կոշտ շեմերը երկու տարբեր իրադարձություններ են

Մեղմ շեմը փոխարինում է խնդրում շատ առաջ, քան կոշտ սահմանը կավարտի ասոցիացիան, և իրականացումները իրենց լուսանցքներն ու պատահականացումը դնում են ձեր կարգավորածի վրա։ Դրա համար էլ դիտարկված ինտերվալը գրեթե երբեք կլոր թիվ չէ։ IPsec ճարտարապետությունը-ը նկարագրում է ժամանակով և բայթերի հաշվով արտահայտված կյանքի տևողությունները երկու տեսակի շեմերով, և ավելի վաղ ժամկետը գերակայում է։ Եթե մեկ տպված կյանքի տևողությունը շաբաթացույց ընդունեք, լուսանցքի չափով կսխալվեք։

Արդյունավետ քաղաքականությունը կարդացեք գործող վիճակից, ոչ թե ֆայլի թվից եզրակացրեք, որովհետև լուսանցքը պատկանում է իրականացմանը, ոչ թե ձեր մտադրությանը։ Դիմացե՛ք սահմանները մաքսիմումին ձգելու գայթակղությանը՝ ախտանիշը լռեցնելու համար. շաբաթացույցով բանալիները փոխող թունելն իրեն պահում է այնպես, ինչպես նախագծվել է, և ավելի երկար կյանքի տևողությունը միայն հետաձգում է իրադարձությունը՝ վտանգված բանալին ավելի երկար պահելով օգտագործելի։ Երբ փոխարինումն ինքն է ձախողվում, սահմանը սուրհանդակն է, ոչ թե մեղքը։

Կարդացեք արդյունավետ կյանքի տևողությունը գործող վիճակից

strongSwan-ում swanctl --list-sas-ը տպում է ասոցիացիայի ամփոփումը՝ բանալու փոխարինման և կյանքի ժամանակներով, այնպես որ դեմոնի կիրառելիք արժեքը տեսանելի է առանց գուշակելու։ Առանց դեմոնի տեսարանի Linux հոսթում ip xfrm state-ը հաղորդում է կարգավորված մեղմ և կոշտ բայթերի ու փաթեթների սահմանները ընթացիկ հաշվիչների կողքին։ Այդ երկու ընթերցումները պատասխանում են տարբեր հարցերի, և երկուսն էլ արժե պահել տոմսում։

swanctl --list-sas
ip -s xfrm state

Համեմատեք տպված մեղմ շեմը ձեր չափած ինտերվալի հետ, որովհետև կոշտ սահմանից ցածր լուսանցքով սկսվող փոխարինումը նորմալ է, իսկ երբեք չսկսվողը՝ ոչ։ Եթե դեմոնը մեկ կյանքի տևողություն է ցույց տալիս, իսկ միջուկի վիճակը՝ մեկ այլ, դուք նայում եք երկու անհամաձայն շերտերի, և դա ինքնին գտածո է։

Հետևեք փոխանակմանը, որը փոխարինում է SA-ին

Առանձին պահեք երեք նորացումները, որովհետև դրանք տարբեր կերպ են ձախողվում. IKE SA-ի բանալու փոխարինումը կառուցում է նոր կառավարման ասոցիացիա, CHILD SA-ի բանալու փոխարինումը փոխարինում է տվյալների ասոցիացիան, իսկ վերաորակավորումը կրկնում է ինքնության փոխանակումը։ IKEv2-ում յուրաքանչյուր զուգընկեր որոշում է իր կյանքի տևողությունները՝ մեկ ընդհանուր արժեքի շուրջ բանակցելու փոխարեն, ուստի ձեր չսկսած փոխանակումը սովորական է։ perfect forward secrecy-ի անհամապատասխանությունը հաճախակի պատճառ է, որ նոր child SA-ն մահանում է հենց բանալու փոխարինման ինտերվալին, և այն ճիշտ ժամանակաչափի խափանման տեսք ունի, մինչև ինչ-որ մեկը կկարդա առաջարկը։

Համեմատեք հին ասոցիացիան իր հաջորդի և այն փոխանակման հետ, որն ստեղծեց այն։ Նույնացուցիչի անհետացումը սովորական փոխարինում է. մերժված առաջարկը, բացակայող պատասխանը կամ օգտագործելի հաջորդ վիճակի բացակայությունը այլ սեփականատիրոջ այլ իրադարձություն է։ Պահեք այդ ապացույցը, նախքան ինչ-որ բան փոխելը, որովհետև տվյալ տարբերակի նշումները, զուգընկերի առաջարկը և բանակցված կյանքի տևողությունները հենց այն են, ինչ գործը ընթեռնելի է դարձնում մեկ շաբաթ անց՝ մատյանների պտտվելուց հետո։

Ապացուցեք նորացումը՝ փոխարենը չթաքցնելու

Ընդունեք տեղակայումը՝ անցնելով ձեր պլանավորած նորացման միջով, այլ ոչ թե ձեզ հետ պատահողի։ Պարտադրեք մեկ բանալու փոխարինում սպասարկման պատուհանի ներսում, ապա հաստատեք, որ դրանից հետո երկու ուղղություններն էլ տվյալներ են կրում, և հավելվածի արդյունքն անփոփոխ է, ոչ միայն այն, որ թունելի ցուցիչը կանաչ է։ Գրանցեք, թե որ սահմանն է գործարկվել և որ փոխանակումն է եղել ներգրավված։

Այդ ձևի եզրակացությունը դիմանում է ստուգմանը, մինչդեռ փոխված ժամաչափի արժեքը, որը կապը մեկ կեսօր հանգիստ ցույց տվեց, չի դիմանում։ Եթե միայն ժամաչափը տեղաշարժվեց, ապացույցը նույնպես տեղաշարժվեց նրա հետ։