忙しい IPsec トンネルが早く鍵を更新する理由：時間と容量の制限

およそ五十分ごとに、混雑したリンク上のトンネルが数秒間落ち、最初の容疑者は時計です。関連付けは時間制限でもバイト数でも終了でき、先に到来した境界がそれを引退させます。実際のトラフィックを運ぶリンクでは、容量制限が設定した一時間の経過よりずっと早く発動することがあります。つまり「早すぎる」は時計についての言葉であり、関連付けについての言葉ではありません。

インターフェースではなく、関連付けが数えるものを数える

インターフェースのバイト合計、ダッシュボードの合算スループット、関連付け自身のカウンターは三つの別々の数値であり、制限と比較されるのはそのうち一つだけです。受信と送信の関連付けを識別子付きで別々に記録すれば、片方向に触れる鍵更新が謎ではなく方向性のある出来事として現れます。関連付けのカウンターも鍵更新で再び始まるため、インターフェースから取った合計は増える一方で、重要な値はリセットされます。

計算を一度しておけば、桁の感覚が恣意的に感じられなくなります。一ギビバイトの計上予算は、一定の毎分 128 メビバイトで消費されると八分で尽きますが、これは単位換算であって、あなたのトンネルの測定ではありません。結果の数字が時間制限よりはるかに下なら、容量が仕組みであり、時計を見ても間隔は説明できません。はるかに上なら、バイト制限は引き金ではなく、調査は別の場所に属します。

ソフトとハードのしきい値は別の出来事

ソフトしきい値は、ハード制限が関連付けを終わらせるずっと前に置き換えを求め、実装は設定した内容の上に独自の余裕とランダム化を重ねます。そのため観測される間隔はほとんど決して丸い数になりません。IPsec アーキテクチャは、時間とバイト数で表される寿命を二種類のしきい値とともに説明しており、より早い満了が支配します。印刷された一つの寿命をスケジュールとして扱うと、余裕の分だけ間違えます。

余裕は実装に属し、あなたの意図には属しませんから、実効ポリシーはファイル内の数値から推測するのではなく実行中の状態から読んでください。症状を黙らせるために制限を最大まで引き伸ばす誘惑に抗ってください：スケジュールどおりに鍵を更新するトンネルは設計どおりに動いており、長い寿命は出来事を先送りするだけで、侵害された鍵を使える期間を延ばします。置き換え自体が失敗するとき、制限は責任ではなく伝令です。

実行中の状態から実効寿命を読む

strongSwan では、swanctl --list-sas が関連付けの概要を鍵更新と寿命の時刻とともに出力するので、デーモンが適用しようとする値が推測なしで見えます。デーモンの表示がない Linux ホストでは、ip xfrm state が設定済みのソフトとハードのバイトおよびパケット制限を現在のカウンターの隣に報告します。その二つの読み取りは別の問いに答え、どちらもチケットに残す価値があります。

swanctl --list-sas
ip -s xfrm state

印刷されたソフトしきい値は、ハード制限の下の余裕で始まる置き換えは正常で、決して始まらない置き換えはそうではないため、測定した間隔と比較してください。デーモンがある寿命を示し、カーネル状態が別の寿命を示すなら、一致しない二つの層を見ていることになり、それ自体が発見です。

SA を置き換える交換を監視する

三つの更新は失敗の仕方が異なるため、分けて保ってください：IKE SA の鍵更新は新しい制御関連付けを構築し、CHILD SA の鍵更新はデータ関連付けを置き換え、再認証は識別情報の交換を繰り返します。IKEv2 では各ピアが一つの共有値を交渉するのではなく独自の寿命を決めるため、あなたが開始していない交換は普通のことです。perfect forward secrecy の不一致は、新しい child SA がちょうど鍵更新の間隔で死ぬ頻繁な原因であり、誰かが提案を読むまでタイマー故障とまったく同じに見えます。

古い関連付けをその後継およびそれを生み出した交換と比較してください。識別子が消えるのは日常的な置き換えです；拒否された提案、欠けた応答、使用可能な後継状態の不在は、別の所有者を持つ別の出来事です。バージョン固有の注記、ピアの提案、交渉された寿命こそが、ログが回転した一週間後でも案件を読めるものにするからです、何かを変える前にその証拠を保存してください。

隠すのではなく更新を証明する

配置は、あなたに降りかかる更新ではなく、計画した更新を通して受け入れてください。保守ウィンドウの中で一度だけ鍵更新を強制し、その後で両方向がデータを運び、アプリケーションの結果が変わっていないことを、トンネルの表示が緑なだけではなく確認してください。どの制限が発動し、どの交換が関与したかを記録してください。

その形の結論は精査に耐えますが、接続を午後いっぱい静かに見せた変更済みのタイマー値は耐えません。タイマーだけが動いたのなら、証拠もそれとともに動いたのです。