Eftirlit með IPsec-tunnilviðmóti: hvað á að lesa

Rútumiðuð IPsec-hönnun setur upp sýndarviðmót, og það viðmót gefur eftirlitinu konkret hlut: eitthvað með nafni, teljurum og rútu sem er tengd við það. Það er ekki heilsumerki út af fyrir sig. Viðmótið getur verið til staðar á meðan engin nothæf samtenging er uppsett, og samtenging getur verið heilbrigð á meðan engin rúta sendir áhugaverðan umferð til hennar. Það er að lesa fjögur stig saman sem gerir pakkateljara að greiningu.

Farðu í gegnum þau í röð og stansaðu við það fyrsta sem bregst.

Hvað viðmótið bætir við myndina

Í stefnumiðaðri hönnun býr valið í IPsec-stefnutöflunni og kjarninn ákveður hvað er varið út frá umferðarvalurum. Rútumiðuð hönnun bætir við viðmóti og rútu, svo tcpdump og viðmótsteljarar sjá eina mörk í stað mengis valura. Það er raunverulegur ávinningur fyrir greiningu og fyrir leiðarvaldsamskiptareglur sem þurfa viðmót til að gera peering yfir.

Ávinningurinn er stjórnunarlegur, ekki dulmálslegur. Viðmótið segir frá umferðinni sem það ber og segir ekkert um hvort vernd mótaðilans sé nothæf núna.

Lestu fjögur stigin áður en þú kennir tunnilnum um

Byrjaðu á viðmótinu og rútunni, svo samtengingunni, svo forritinu. Hvert hefur sína skipun og sína bilanakenni. Hrein niðurstaða á einu lagi er ekki hrein niðurstaða á því næsta. Keyrðu öll fjögur áður en þú dregur ályktun. Ein græn lína leysir sjaldan nokkuð.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Viðmót með hækkandi teljara en án samsvarandi stöðufærslu lýsir umferð sem fer inn á slóð þar sem ekkert verndar hana, sem er verra en tunnel sem er einfaldlega niðri. Stöðufærsla án rútu sem velur viðmótið þýðir að dulmálið er tilbúið og ónotað.

Forritaprófið kemur síðast og viljandi: árangursríkt ping á hina hlið tunnelsins sannar ekki að þjónustan fyrir aftan taki við tengingum.

Berðu saman innri teljara og ytri teljara

Teljarar á tunnilviðmótinu mæla innri umferð; teljarar og upptökur á líkamlega viðmótinu sýna umbúðu skiptin. Þau tvö munu ekki passa eitt á móti einu, því umbúðir bæta við hausum, endursendingar tvöfalda sumar pakkana og bókhald útfærslunnar fylgir eigin reglum. Væntu hlutfalls, ekki jafnréttis.

Staðsetning upptökunnar ræður líka hvaða einkagögn þú safnar, svo notaðu þrönga afmarkara og meinlaust prófunarheimilisfang í stað fullrar upptöku af framleiðsluumferð.

Ef innri teljararnir hækka og þeir ytri ekki, er skrefið sem vantar yfirleitt rútan eða stefnan sem sendir pakkana inn í tunnelinn, ekki tunnelinn sjálfur.

Fylgdu því í gegnum endurnýjun lykla og yfirfærslu

Fylgstu með endurnýjun lykla, atburði við að greina dauðan mótaðila og yfirfærslu tengingar á meðan þú fylgist með sömu fjórum stigum. Viðmót getur verið áfram til staðar í gegnum endurnýjun lykla sem klárast aldrei, og yfirfærsla getur skilið eftir stöðufærslu sem bendir á heimilisfang mótaðilans sem er ekki lengur aðgengilegt.

Sendu viðvörun um þjónustuslóðina sem þú ert í raun háður, með stöðu samtengingarinnar sem samhengi, í stað eins flaggs upp eða niður. Hafðu viðmótsnafnið, heimilisfang mótaðilans og rútuna í farmi viðvörunarinnar, svo sá sem bregst við þurfi ekki að endurgera þau.

strongSwan skjalfestir sitt eigið XFRM-viðmótslíkan, og aðrir pallar nefna og útfæra samsvarandi hlut á annan hátt. Lestu rútumiðuðu samanburðinn fyrir tækið fyrir framan þig áður en þú flytur forsendur frá annarri útfærslu. Eftirlitsmynstur sem hentar teljurum eins framleiðanda mun láta í lægi villa um annan.