Ինչ կարդալ IPsec թունելի ինտերֆեյսը մոնիտորինգ անելիս

Երթուղիների վրա հիմնված IPsec նախագիծը տեղադրում է վիրտուալ ինտերֆեյս, և այդ ինտերֆեյսը մոնիտորինգին տալիս է կոնկրետ օբյեկտ՝ ինչ-որ բան անունով, հաշվիչներով և դրան կցված երթուղիով։ Ինքնին այն առողջության ազդանշան չէ։ Ինտերֆեյսը կարող է գոյություն ունենալ, երբ ոչ մի օգտագործելի ասոցիացիա տեղադրված չէ, և ասոցիացիան կարող է առողջ լինել, երբ ոչ մի երթուղի չի ուղարկում նրան հետաքրքիր երթևեկությունը։ Չորս վիճակների միասին ընթերցումն է, որ փաթեթների հաշվիչը դարձնում է ախտորոշում։

Անցեք դրանք հերթականությամբ և կանգ առեք առաջինի վրա, որը ձախողվում է։

Ինչ է ավելացնում ինտերֆեյսը պատկերին

Քաղաքականությունների վրա հիմնված նախագծում ընտրությունը ապրում է IPsec քաղաքականությունների աղյուսակում, և միջուկը որոշում է, թե ինչ է պաշտպանվում՝ ելնելով երթևեկության ընտրիչներից։ Երթուղիների վրա հիմնված նախագիծը ավելացնում է ինտերֆեյս և երթուղի, այնպես որ tcpdump-ը և ինտերֆեյսի հաշվիչները տեսնում են մեկ սահման՝ ընտրիչների հավաքածուի փոխարեն։ Սա իրական շահ է ախտորոշման և այն երթուղավորման արձանագրությունների համար, որոնք ինտերֆեյս են պահանջում peering-ի համար։

Շահը վարչական է, ոչ թե գաղտնագրային։ Ինտերֆեյսը հաղորդում է իր կրած երթևեկության մասին և ոչինչ չի ասում այն մասին, թե արդյոք գործընկերոջ պաշտպանությունը ներկայումս օգտագործելի է։

Կարդացեք չորս վիճակները, նախքան թունելին մեղադրելը

Սկսեք ինտերֆեյսից և երթուղուց, ապա ասոցիացիայից, ապա հավելվածից։ Յուրաքանչյուրն ունի իր հրամանը և իր ձախողման ստորագրությունը։ Մաքուր արդյունքը մեկ շերտում մաքուր արդյունք չէ հաջորդում։ Կատարեք բոլոր չորսը՝ նախքան եզրակացություն անելը։ Մեկ կանաչ տողը հազվադեպ է ինչ-որ բան որոշում։

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Աճող հաշվիչով, բայց համապատասխան վիճակի գրառում չունեցող ինտերֆեյսը նկարագրում է երթևեկություն, որը մտնում է ուղի, որտեղ ոչինչ չի պաշտպանում այն, և դա ավելի վատ է, քան պարզապես անջատված թունելը։ Վիճակի գրառում առանց երթուղու, որը կընտրեր ինտերֆեյսը, նշանակում է, որ գաղտնագրությունը պատրաստ է և չօգտագործված։

Հավելվածի թեստը գալիս է վերջին և դիտավորյալ՝ հաջող ping-ը թունելի մյուս կողմ՝ չի ապացուցում, որ դրա հետևում գտնվող ծառայությունը ընդունում է միացումներ։

Համեմատեք ներքին հաշվիչները արտաքին հաշվիչների հետ

Թունելի ինտերֆեյսի հաշվիչները չափում են ներքին երթևեկությունը. ֆիզիկական ինտերֆեյսի հաշվիչներն ու գրավումները ցույց են տալիս փաթաթված փոխանակումը։ Երկուսը մեկ առ մեկ չեն համապատասխանի, որովհետև փաթաթումը ավելացնում է վերնագրեր, վերահաղորդումները կրկնօրինակում են որոշ փաթեթներ, և իրականացման հաշվառումը հետևում է իր սեփական կանոններին։ Սպասեք հարաբերակցության, ոչ թե հավասարության։

Գրավման տեղը նաև որոշում է, թե ինչ անձնական տվյալներ եք հավաքում, ուստի օգտագործեք նեղ զտիչներ և անվնաս փորձնական հասցե՝ արտադրական երթևեկության ամբողջական գրավման փոխարեն։

Եթե ներքին հաշվարկները աճում են, իսկ արտաքինը՝ ոչ, բաց թողնված քայլը սովորաբար այն երթուղին կամ քաղաքականությունն է, որը փաթեթներն ուղարկում է թունել, և ոչ թե ինքը թունելը։

Դիտեք դա բանալիների նորացման և պահուստային անցման ընթացքում

Դիտեք բանալիների նորացում, մեռած գործընկերոջ հայտնաբերման դեպք և կապի պահուստային անցում՝ միաժամանակ հետևելով նույն չորս վիճակներին։ Ինտերֆեյսը կարող է մնալ առկա այնպիսի բանալիների նորացման ընթացքում, որը երբեք չի ավարտվում, և պահուստային անցումը կարող է թողնել վիճակի գրառում, որը ցույց է տալիս գործընկերոջ այն հասցեին, որն այլևս հասանելի չէ։

Զգուշացրեք այն ծառայության ուղու վրա, որից իրականում կախված եք՝ ասոցիացիայի վիճակը որպես համատեքստ վերցնելով, և ոչ թե մեկ վերև կամ ներքև դրոշակի վրա։ Պահեք ինտերֆեյսի անունը, գործընկերոջ հասցեն և երթուղին զգուշացման ծանրաբեռնվածության մեջ, որպեսզի արձագանքողը ստիպված չլինի դրանք վերստեղծել։

strongSwan-ը փաստաթղթավորում է իր XFRM ինտերֆեյսի մոդելը, իսկ այլ պլատֆորմներ համարժեք օբյեկտը այլ կերպ են անվանում և իրականացնում։ Կարդացեք երթուղիների վրա հիմնված համեմատությունը ձեր առջև գտնվող սարքի համար՝ նախքան այլ իրականացումից ենթադրություններ փոխանցելը։ Մոնիտորինգի ձևանմուշը, որը համապատասխանում է մեկ արտադրողի հաշվիչներին, լուռ կմոլորեցնի մյուսի դեպքում։