Hvers vegna annasamur IPsec-göng lýkla snemma: tímamörk og rúmmálsmörk

Um það bil á fimmitu mínútna fresti dettur göng á annasamri tengingu út í nokkrar sekúndur, og fyrsti grunaði er klukkan. Samtengingar geta endað á tímamörkum eða bætatölu, og hvor mörkin sem koma fyrst eru þau sem setja þær í frí. Á tengingu sem ber raunverulegan umferð geta rúmmálsmörk gripið inn löngu áður en stillta klukkustundin er liðin. Þannig að „of snemma“ er fullyrðing um klukkuna, ekki um samtenginguna.

Teljið það sem samtengingin telur, ekki viðmótið

Heildarbætatala viðmóts, samsett afkastageta mælaborðs og eigin teljari samtengingarinnar eru þrjár aðskildar tölur, og aðeins ein þeirra er borin saman við mörkin. Skráið inn- og útsamtenginguna aðskildar með auðkennum sínum, svo lyklaskipti sem snerta eina átt birtist sem stefnubundinn atburður í stað ráðgátu. Teljari samtengingarinnar byrjar líka upp á nýtt við lyklaskipti, þess vegna vex heildartala tekin af viðmótinu meðan gildið sem skiptir máli núllstillist.

Það er þess virði að gera reikninginn einu sinni svo stærðargráðan hætti að virðast handahófskennd. Reiknuð fjárhagsáætlun eins gíbabæts sem eyðist á jöfnum 128 mebibætum á mínútu er uppurin á átta mínútum, og það er einingabreyting, ekki mæling á göngunum þínum. Ef talan sem kemur út liggur langt undir tímamörkunum er rúmmálið aflvakið og engin klukkustöðugæsla mun útskýra bilið. Ef hún liggur langt yfir þeim eru bætamörkin ekki kveikjan þín og leitin á annan stað.

Mjúk og hörð þröskuldur eru tveir ólíkir atburðir

Mjúkur þröskuldur biður um skipti löngu áður en hörð mörkin enda samtenginguna, og innleiðingar leggja eigin framlegð og slembival ofan á það sem þú stilltir. Þess vegna er mælda bilið næstum aldrei kringlótt tala. IPsec-arkitektúr lýsir líftímum sem eru tjáðir í tíma og bætatölu með tveimur tegundum þröskulda, og fyrri lokin gilda. Ef þú meðhöndlar einn prentaðan líftíma sem dagskrá muntu skjátlast um framlegðina.

Lestu virka stefnuna úr keyrandi stöðu í stað þess að álykta hana út frá tölu í skrá, því framlegðin tilheyrir innleiðingunni, ekki ætlun þinni. Standa þarf gegn freistingu að teygja mörkin að hámarki þeirra til að þagga niður einkennið: göng sem skipta lyklum samkvæmt dagskrá hegða sér eins og hönnuð voru, og lengri líftími frestar aðeins atburðinum meðan lykill sem er í hættu helst nothæfur lengur. Þegar skiptin sjálf mistakast er mörkin boðberinn en ekki sökin.

Lesið virka líftímann úr keyrandi stöðu

Á strongSwan prentar swanctl --list-sas samantekt samtengingarinnar með lyklaskipta- og líftímatímum, svo gildið sem dæmonan ætlar að framfylgja sést án ágiskana. Á Linux-þjóni án dæmonayfirlits tilkynnir ip xfrm state stillt mjúk og hörð bæta- og pakkamörk við hlið núverandi teljara. Þessar tvær lestrar svara ólíkum spurningum og báðar er vert að geyma í miðanum.

swanctl --list-sas
ip -s xfrm state

Berðu prentaða mjúka þröskuldinn saman við bilið sem þú mældir, því skipti sem byrja með framlegð undir hörðu mörkunum eru eðlileg og skipti sem byrja aldrei eru það ekki. Ef dæmonan sýnir einn líftíma og kjarnastöðan annan ertu að skoða tvö lög sem eru ósammála, og það er sjálft niðurstaðan.

Fylgist með skiptingunni sem kemur í stað SA

Hafðu þrjár endurnýjanir aðskildar, því þau mistakast á ólíkan hátt: lyklaskipti IKE SA byggja nýja stýrisamtengingu, lyklaskipti CHILD SA koma í stað gagnasamtengingarinnar og endurvottun endurtekur auðkennisskiptin. Í IKEv2 ákveður hver jafningi sinn eigin líftíma í stað þess að semja eitt sameiginlegt gildi, svo skipti sem þú hófst ekki eru venjuleg. Ósamræmi í perfect forward secrecy er algeng ástæða þess að nýtt child SA deyr nákvæmlega á lyklaskiptabilinu, og það lítur nákvæmlega út eins og tímamælabilun þar til einhver les tillöguna.

Berðu gömlu samtenginguna saman við arftaka hennar og við skiptin sem mynduðu hana. Auðkenni sem hverfur er venjubundin skipti; hafnað tillaga, svar sem vantar eða skortur á nothæfri arftakastöðu er annar atburður með annan eiganda. Varðveittu þessar sannanir áður en þú breytir nokkru, því útgáfusértæku athugasemdirnar, tillaga jafningsins og samningsbundnu líftímarnir eru það sem gera málið læsilegt viku síðar, eftir að annálarnir hafa snúist.

Sannið endurnýjunina í stað þess að fela hana

Samþykktu innleiðinguna með því að fara í gegnum endurnýjun sem þú skipulagðir en ekki þá sem verður fyrir þig. Þvingaðu eitt lyklaskipti innan viðhaldsglugga, staðfestu síðan að báðar áttir beri gögn eftir á og að niðurstaða forritsins sé óbreytt, ekki aðeins að vísir gagnanna sé grænn. Skráðu hvaða mörk gripu inn og hvaða skipti áttu þátt.

Niðurstaða af þeirri gerð stenst skoðun, en breytt tímamælagildi sem lét tenginguna líta rólega út í einn eftirmiðdag gerir það ekki. Ef aðeins tímamælirinn hreyfðist hreyfðust sannanirnar með honum.