IPsec გვირაბის ინტერფეისის მონიტორინგი: რა უნდა წავიკითხოთ

მარშრუტებზე დაფუძნებული IPsec დიზაინი აყენებს ვირტუალურ ინტერფეისს და ეს ინტერფეისი მონიტორინგს აძლევს კონკრეტულ ობიექტს: რაღაცას სახელით, მრიცხველებით და მასზე მიმაგრებული მარშრუტით. ის თავისთავად ჯანმრთელობის სიგნალი არ არის. ინტერფეისი შეიძლება არსებობდეს მაშინ, როცა არც ერთი გამოსადეგი ასოციაცია არ არის დაყენებული, ხოლო ასოციაცია შეიძლება ჯანმრთელი იყოს მაშინ, როცა არც ერთი მარშრუტი არ უგზავნის მას საინტერესო ტრაფიკს. ოთხი მდგომარეობის ერთად წაკითხვა არის ის, რაც პაკეტების მრიცხველს დიაგნოზად აქცევს.

გაიარეთ ისინი თანმიმდევრობით და გაჩერდით პირველზე, რომელიც ვერ გაივლის.

რას მატებს ინტერფეისი სურათს

პოლიტიკაზე დაფუძნებულ დიზაინში არჩევანი IPsec პოლიტიკების ცხრილში ცხოვრობს და ბირთვი წყვეტს, რა იცავს თავს ტრაფიკის სელექტორების მიხედვით. მარშრუტებზე დაფუძნებული დიზაინი ამატებს ინტერფეისს და მარშრუტს, ამიტომ tcpdump და ინტერფეისის მრიცხველები ხედავენ ერთ საზღვარს სელექტორების ნაკრების ნაცვლად. ეს რეალური მოგებაა დიაგნოსტიკისთვის და იმ მარშრუტიზაციის პროტოკოლებისთვის, რომლებსაც ინტერფეისი სჭირდებათ peering-ისთვის.

მოგება ადმინისტრაციულია, არა კრიპტოგრაფიული. ინტერფეისი იუწყება ტრაფიკზე, რომელსაც ატარებს, და არაფერს ამბობს იმაზე, არის თუ არა პარტნიორის დაცვა ახლა გამოსადეგი.

წაიკითხეთ ოთხი მდგომარეობა, სანამ გვირაბს დაადანაშაულებთ

დაიწყეთ ინტერფეისით და მარშრუტით, შემდეგ ასოციაციით, შემდეგ აპლიკაციით. თითოეულს აქვს თავისი ბრძანება და თავისი უკმარისობის ნიშანი. სუფთა შედეგი ერთ დონეზე არ არის სუფთა შედეგი შემდეგზე. შეასრულეთ ოთხივე დასკვნამდე მისვლამდე. ერთი მწვანე ხაზი იშვიათად წყვეტს რამეს.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

ინტერფეისი მზარდი მრიცხველით, მაგრამ შესაბამისი მდგომარეობის ჩანაწერის გარეშე, აღწერს ტრაფიკს, რომელიც შედის გზაზე, სადაც არაფერი იცავს მას, რაც უარესია, ვიდრე უბრალოდ გამორთული გვირაბი. მდგომარეობის ჩანაწერი მარშრუტის გარეშე, რომელიც აირჩევდა ინტერფეისს, ნიშნავს, რომ კრიპტოგრაფია მზადაა და გამოუყენებელი.

აპლიკაციის ტესტი განზრახ ბოლოს მოდის: წარმატებული ping გვირაბის მეორე მხარეს არ ამტკიცებს, რომ მის უკან არსებული სერვისი კავშირებს იღებს.

შეადარეთ შიდა მრიცხველები გარე მრიცხველებს

გვირაბის ინტერფეისზე არსებული მრიცხველები ზომავენ შიდა ტრაფიკს; ფიზიკურ ინტერფეისზე არსებული მრიცხველები და ჩაწერები აჩვენებენ ინკაფსულირებულ გაცვლას. ეს ორი ერთი-ერთზე არ დაემთხვევა, რადგან ინკაფსულაცია ამატებს სათაურებს, ხელახალი გადაცემები აორმაგებს ზოგიერთ პაკეტს და იმპლემენტაციის აღრიცხვა საკუთარ წესებს მიჰყვება. დაელოდეთ თანაფარდობას, არა თანასწორობას.

ჩაწერის ადგილი ასევე განსაზღვრავს, რა პირად მონაცემებს აგროვებთ, ამიტომ გამოიყენეთ ვიწრო ფილტრები და უვნებელი სატესტო მისამართი წარმოების ტრაფიკის სრული ჩაწერის ნაცვლად.

თუ შიდა რიცხვები იზრდება, ხოლო გარე არა, გამოტოვებული ნაბიჯი ჩვეულებრივ მარშრუტი ან პოლიტიკაა, რომელიც პაკეტებს გვირაბში აგზავნის, და არა თავად გვირაბი.

დააკვირდით ამას გასაღებების განახლებისა და გადართვის განმავლობაში

დააკვირდით გასაღებების განახლებას, მკვდარი პარტნიორის ამოცნობის მოვლენას და კავშირის სარეზერვო გადართვას, სანამ თვალს ადევნებთ იმავე ოთხ მდგომარეობას. ინტერფეისი შეიძლება დარჩეს გასაღებების განახლების დროს, რომელიც არასოდეს სრულდება, და გადართვამ შეიძლება დატოვოს მდგომარეობის ჩანაწერი, რომელიც მიუთითებს პარტნიორის მისამართზე, რომელიც აღარ არის ხელმისაწვდომი.

განგაშის სიგნალი მიეცით იმ სერვისულ გზაზე, რომელზეც ნამდვილად ხართ დამოკიდებული, ასოციაციის მდგომარეობას კონტექსტად იყენებთ, და არა ერთ დროშაზე ზემოთ ან ქვემოთ. შეინახეთ ინტერფეისის სახელი, პარტნიორის მისამართი და მარშრუტი განგაშის დატვირთვაში, რომ რეაგირებულს არ მოუწიოს მათი ხელახლა აწყობა.

strongSwan ადოკუმენტირებს საკუთარ XFRM ინტერფეისის მოდელს, ხოლო სხვა პლატფორმები ეკვივალენტურ ობიექტს სხვანაირად უწოდებენ და ახორციელებენ. წაიკითხეთ მარშრუტებზე დაფუძნებული შედარება თქვენს წინ არსებული მოწყობილობისთვის, სანამ სხვა იმპლემენტაციიდან ვარაუდებს გადაიტანთ. მონიტორინგის შაბლონი, რომელიც ერთი მწარმოებლის მრიცხველებს შეეფერება, მეორეზე ჩუმად შეცდომაში შეიყვანს.