რატომ ხდის დატვირთული IPsec გვირაბი გასაღებებს ადრე: დროისა და მოცულობის ზღვრები

დაახლოებით ყოველ ორმოცდაათ წუთში დატვირთულ კავშირზე გვირაბი რამდენიმე წამით ვარდება და პირველი ეჭვმიტანილი საათია. ასოციაციები შეიძლება დასრულდეს დროის ზღვრით ან ბაიტების რაოდენობით და რომელი საზღვარიც პირველი მოვა, ის გადააქვს მათ პენსიაზე. რეალურ ტრაფიკის მატარებელ კავშირზე მოცულობის ზღვარი შეიძლება ამოქმედდეს კონფიგურირებული საათის გასვლამდე დიდი ხნით ადრე. ამიტომ „ძალიან ადრე“ საათის შესახებ განაცხადია და არა ასოციაციის.

დათვალეთ ის, რასაც ასოციაცია ითვლის, და არა ინტერფეისი

ინტერფეისის ბაიტების ჯამი, დაფის კომბინირებული გამტარუნარიანობა და ასოციაციის საკუთარი მრიცხველი სამი ცალკე რიცხვია და მხოლოდ ერთი მათგანი შედარებულია ზღვართან. შემომავალი და გამავალი ასოციაციები ცალ-ცალკე ჩაწერეთ მათი იდენტიფიკატორებით, რათა ერთ მიმართულებას შეხებული გასაღების განახლება გამოჩნდეს როგორც მიმართულებიანი მოვლენა და არა გამოცანა. ასოციაციის მრიცხველი გასაღების განახლებისას თავიდან იწყება, ამიტომ ინტერფეისიდან აღებული ჯამი იზრდება, ხოლო მნიშვნელოვანი მნიშვნელობა ნულდება.

გამოთვლა ერთხელ ღირს, რომ სიდიდის რიგი აღარ ჩანდეს თვითნებურად. ერთი გიბიბაიტის გამოთვლილი ბიუჯეტი, რომელიც წუთში სტაბილური 128 მებიბაიტით იხარჯება, რვა წუთში იწურება და ეს ერთეულების გარდაქმნაა, არა თქვენი გვირაბის გაზომვა. თუ შედეგად მიღებული რიცხვი დროის ზღვარზე ბევრად დაბლაა, მოცულობაა მექანიზმი და საათზე დაკვირვება ინტერვალს არ ახსნის. თუ ის ბევრად მაღლაა, ბაიტის ზღვარი თქვენი გამომწვევი არ არის და ძიება სხვა ადგილს ეკუთვნის.

რბილი და მკაცრი ზღვარი ორი განსხვავებული მოვლენაა

რბილი ზღვარი ჩანაცვლებას ითხოვს მკაცრი ზღვრის მიერ ასოციაციის დასრულებამდე დიდი ხნით ადრე და იმპლემენტაციები საკუთარ ზღუდეებსა და რანდომიზაციას ამატებენ იმას, რაც თქვენ დააკონფიგურირეთ. ამიტომ დაკვირვებული ინტერვალი თითქმის არასოდეს მრგვალი რიცხვია. IPsec არქიტექტურა აღწერს დროითა და ბაიტების რაოდენობით გამოხატულ სიცოცხლის ხანგრძლივობებს ორი ტიპის ზღვრით და უფრო ადრეული ვადაა განმსაზღვრელი. თუ ერთ დაბეჭდილ სიცოცხლის ხანგრძლივობას განრიგად მიიღებთ, ზღუდის ოდენობით შეცდებით.

ეფექტური პოლიტიკა გაშვებული მდგომარეობიდან წაიკითხეთ და არა ფაილში არსებული რიცხვიდან გამოიტანეთ, რადგან ზღუდი იმპლემენტაციას ეკუთვნის და არა თქვენს განზრახვას. წინააღმდეგობა გაუწიეთ ცდუნებას, ზღვრები მაქსიმუმამდე გაჭიმოთ სიმპტომის ჩასახშობად: განრიგის მიხედვით გასაღებების შემცვლელი გვირაბი ისე იქცევა, როგორც დაპროექტდა, და გრძელი სიცოცხლე მხოლოდ აჭიანურებს მოვლენას, კომპრომეტირებულ გასაღებს კი უფრო დიდხანს ტოვებს გამოსაყენებლად. როცა თავად ჩანაცვლება ვერ ხერხდება, ზღვარი შიკრიკია და არა ბრალი.

წაიკითხეთ ეფექტური სიცოცხლე გაშვებული მდგომარეობიდან

strongSwan-ზე swanctl --list-sas ბეჭდავს ასოციაციის შეჯამებას მისი გასაღების განახლებისა და სიცოცხლის დროებით, ასე რომ დემონის მიერ დასაწესებელი მნიშვნელობა გამოცნობის გარეშე ჩანს. დემონის ხედის გარეშე Linux ჰოსტზე ip xfrm state აცნობებს კონფიგურირებულ რბილ და მკაცრ ბაიტისა და პაკეტის ზღვრებს მიმდინარე მრიცხველების გვერდით. ეს ორი წაკითხვა სხვადასხვა კითხვას პასუხობს და ორივე ღირს ბილეთში დარჩეს.

swanctl --list-sas
ip -s xfrm state

შეადარეთ დაბეჭდილი რბილი ზღვარი თქვენ მიერ გაზომილ ინტერვალს, რადგან მკაცრი ზღვრის ქვემოთ ზღუდით დაწყებული ჩანაცვლება ნორმალურია, ხოლო არასოდეს დაწყებული — არა. თუ დემონი ერთ სიცოცხლეს აჩვენებს, ხოლო ბირთვის მდგომარეობა მეორეს, თქვენ უთანხმო ორ ფენას უყურებთ და ეს თავისთავად აღმოჩენაა.

თვალყური ადევნეთ გაცვლას, რომელიც ცვლის SA-ს

ცალ-ცალკე შეინახეთ სამი განახლება, რადგან ისინი სხვადასხვაგვარად ვარდებიან: IKE SA-ის გასაღების განახლება აშენებს ახალ მართვის ასოციაციას, CHILD SA-ის გასაღების განახლება ცვლის მონაცემთა ასოციაციას, ხოლო ხელახალი ავთენტიფიკაცია იმეორებს იდენტობის გაცვლას. IKEv2-ში თითოეული მხარე საკუთარ სიცოცხლეს წყვეტს და არა ერთ საერთო მნიშვნელობაზე მოლაპარაკებას, ამიტომ თქვენ მიერ დაუწყებელი გაცვლა ჩვეულებრივია. perfect forward secrecy-ის შეუსაბამობა ხშირი მიზეზია, რომ ახალი child SA ზუსტად გასაღების განახლების ინტერვალზე იღუპება და ზუსტად ტაიმერის ხარვეზად გამოიყურება, სანამ ვინმე წინადადებას წაიკითხავს.

შეადარეთ ძველი ასოციაცია მის მემკვიდრეს და იმ გაცვლას, რომელმაც ის შექმნა. იდენტიფიკატორის გაქრობა რუტინული ჩანაცვლებაა; უარყოფილი წინადადება, დაკარგული პასუხი ან გამოსადეგი მემკვიდრის მდგომარეობის არარსებობა სხვა მფლობელის მქონე სხვა მოვლენაა. შეინახეთ ეს მტკიცებულება, სანამ რამეს შეცვლით, რადგან ვერსიის სპეციფიკური ჩანაწერები, მხარის წინადადება და შეთანხმებული სიცოცხლის ვადები სწორედ ის არის, რაც საქმეს კითხვადს ხდის ერთი კვირის შემდეგ, ჟურნალების ბრუნვის შემდეგ.

დაამტკიცეთ განახლება და ნუ დამალავთ მას

მიიღეთ განთავსება დაგეგმილი განახლების გავლით და არა იმის, რაც თქვენ დაგემართათ. აიძულეთ ერთი გასაღების განახლება ტექნიკური მომსახურების ფანჯარაში, შემდეგ დაადასტურეთ, რომ ამის შემდეგ ორივე მიმართულება მონაცემებს ატარებს და აპლიკაციის შედეგი უცვლელია, და არა მხოლოდ ის, რომ გვირაბის ინდიკატორი მწვანეა. ჩაწერეთ, რომელი ზღვარი ამოქმედდა და რომელი გაცვლა იყო ჩართული.

ასეთი ფორმის დასკვნა გადის შემოწმებას, ხოლო შეცვლილი ტაიმერის მნიშვნელობა, რომელმაც კავშირი ერთი შუადღე მშვიდად აჩვენა, ვერ გადის. თუ მხოლოდ ტაიმერი გადაადგილდა, მტკიცებულებაც მასთან გადაადგილდა.