Неге бос емес IPsec туннелі кілттерді ерте жаңартады: уақыт пен көлем шектеулері

Шамамен әр елу минут сайын қарбалас арнадағы туннель бірнеше секундқа құлайды, ал бірінші күдікті — сағат. Қауымдастықтар уақыт шегімен немесе байт санымен аяқталуы мүмкін және қай шекара бірінші келсе, сол оларды зейнетке шығарады. Нақты трафикті тасымалдайтын арнада көлем шегі конфигурацияланған сағат бітпей әлдеқайда ерте іске қосылуы мүмкін. Сондықтан «тым ерте» — сағат туралы мәлімдеме, қауымдастық туралы емес.

Қауымдастық не санайтынын санаңыз, интерфейсті емес

Интерфейстің байт қосындысы, тақтаның біріккен өткізу қабілеті және қауымдастықтың өз санауышы — үш бөлек сан, және олардың тек біреуі ғана шекпен салыстырылады. Кіретін және шығатын қауымдастықтарды идентификаторларымен бөлек жазып алыңыз, сонда бір бағытқа тиетін кілт жаңарту жұмбақ емес, бағыттық оқиға ретінде көрінеді. Қауымдастық санауышы да кілт жаңарту кезінде қайта басталады, сондықтан интерфейстен алынған қосынды өседі, ал маңызды мән нөлденеді.

Есепті бір рет жасаған жөн, сонда шамалар реті ерікті болып сезінуін тоқтатады. Минутына тұрақты 128 мебибайт жылдамдықпен жұмсалатын бір гибибайттық есептелген бюджет сегіз минутта таусылады және бұл бірліктерді түрлендіру, сіздің туннеліңізді өлшеу емес. Егер нәтижелік сан уақыт шегінен әлдеқайда төмен болса, механизм — көлем, және сағатқа қарау интервалды түсіндірмейді. Егер ол әлдеқайда жоғары болса, байт шегі сіздің триггеріңіз емес және іздеу басқа жерге тиесілі.

Жұмсақ және қатаң шектер — екі түрлі оқиға

Жұмсақ шек қатаң шек қауымдастықты аяқтағанға дейін әлдеқайда ерте ауыстыруды сұрайды, ал іске асырулар сіз конфигурациялаған нәрсенің үстіне өз маржалары мен рандомизациясын қосады. Сондықтан байқалған интервал ешқашан дерлік дөңгелек сан болмайды. IPsec архитектурасы өмірлік мерзімдерді уақыт және байт санымен екі шек түрімен сипаттайды, ал ертерек бітетін мерзім басым. Бір басылған мерзімді кесте ретінде қабылдасаңыз, маржа шамасына қателесесіз.

Әсерлі саясатты файлдағы саннан болжамай, жұмыс істеп тұрған күйден оқыңыз, өйткені маржа іске асыруға тиесілі, сіздің ниетіңізге емес. Симптомды үнсіздету үшін шектерді максимумына қарай созу азғыруына қарсы тұрыңыз: кесте бойынша кілт жаңартатын туннель жобаланғандай әрекет етеді, ал ұзағырақ мерзім оқиғаны тек кейінге қалдырып, бұзылған кілтті ұзағырақ қолданыста ұстайды. Ауыстырудың өзі сәтсіз болса, шек — хабаршы, кінә емес.

Әсерлі мерзімді жұмыс істеп тұрған күйден оқыңыз

strongSwan-да swanctl --list-sas қауымдастық қорытындысын оның кілт жаңарту және өмірлік уақыттарымен басып шығарады, сондықтан демон қолданғысы келетін мән болжамсыз көрінеді. Демон көрінісі жоқ Linux хостта ip xfrm state конфигурацияланған жұмсақ және қатаң байт пен пакет шектерін ағымдағы санауыштардың қасында хабарлайды. Бұл екі оқылым әртүрлі сұрақтарға жауап береді және екеуін де билетте сақтаған жөн.

swanctl --list-sas
ip -s xfrm state

Басылған жұмсақ шекті сіз өлшеген интервалмен салыстырыңыз, өйткені қатаң шектің астындағы маржамен басталатын ауыстыру қалыпты, ал ешқашан басталмайтыны олай емес. Егер демон бір мерзімді, ал ядро күйі басқа мерзімді көрсетсе, сіз келіспейтін екі қабатқа қарап отырсыз, және бұл өзі табыс.

SA-ны ауыстыратын алмасуды бақылаңыз

үш жаңарту бөлек ұстаңыз, өйткені олар әртүрлі сәтсіздікке ұшырайды: IKE SA кілт жаңартуы жаңа басқару қауымдастығын құрады, CHILD SA кілт жаңартуы деректер қауымдастығын ауыстырады, ал қайта аутентификация сәйкестік алмасуын қайталайды. IKEv2-де әр тарап бір ортақ мән туралы келісу орнына өз мерзімдерін шешеді, сондықтан сіз бастамаған алмасу қалыпты жағдай. perfect forward secrecy сәйкессіздігі жаңа child SA-ның дәл кілт жаңарту интервалында өлуінің жиі себебі, және біреу ұсынысты оқығанша ол дәл таймер ақауына ұқсайды.

Ескі қауымдастықты оның мұрагерімен және оны тудырған алмасумен салыстырыңыз. Идентификатордың жоғалуы — қалыпты ауыстыру; қабылданбаған ұсыныс, жоқ жауап немесе жарамды мұрагер күйінің болмауы — басқа иесі бар басқа оқиға. Бірдеңені өзгертер алдында сол дәлелді сақтаңыз, өйткені нұсқаға тән жазбалар, тараптың ұсынысы және келісілген мерзімдер журналдар айналғаннан кейін бір аптадан соң істі оқылатын ететін нәрсе.

Жаңартуды жасырмай дәлелдеңіз

Орналастыруды өзіңізге болатын жаңарту емес, жоспарлаған жаңарту арқылы қабылдаңыз. Техникалық қызмет көрсету терезесінде бір кілт жаңартуды мәжбүрлеңіз, содан кейін екі бағыт та деректер тасымалдайтынын және қолданба нәтижесі өзгермегенін растаңыз, тек туннель индикаторы жасыл болғанын емес. Қай шек іске қосылғанын және қай алмасу қатысқанын жазыңыз.

Осындай пішіндегі қорытынды тексеруден өтеді, ал байланысты бір түстен кейін тыныш көрсеткен өзгертілген таймер мәні өтпейді. Егер тек таймер жылжыса, дәлел де онымен бірге жылжыды.