IPsec туннель интерфейсін бақылау: нені оқу керек

Маршрутқа негізделген IPsec дизайны виртуалды интерфейс орнатады және бұл интерфейс мониторингке нақты нысан береді: аты, санауыштары және оған байланған маршруты бар нәрсе. Ол өздігінен денсаулық сигналы емес. Интерфейс пайдалануға жарамды ешбір ассоциация орнатылмаған кезде де болуы мүмкін, ал ассоциация сау болуы мүмкін, бірақ ешбір маршрут қызықты трафикті оған жібермейді. Төрт күйді бірге оқу пакет санауышын диагнозға айналдыратын нәрсе.

Оларды ретімен қарап шығып, сәтсіз болатын біріншісінде тоқтаңыз.

Интерфейс суретке не қосады

Саясатқа негізделген дизайнда таңдау IPsec саясат кестесінде өмір сүреді және ядро трафик селекторларына сүйене отырып, ненің қорғалатынын шешеді. Маршрутқа негізделген дизайн интерфейс пен маршрут қосады, сондықтан tcpdump пен интерфейс санауыштары селекторлар жиынтығының орнына бір шекараны көреді. Бұл диагностика үшін және үстінен peering құруға интерфейс қажет маршруттау протоколдары үшін нақты пайда.

Пайда әкімшілік сипатта, криптографиялық емес. Интерфейс өзі тасымалдайтын трафик туралы хабарлайды және серіктес жақтың қорғанысы қазір пайдалануға жарамды ма, ол туралы ештеңе айтпайды.

Туннельді кінәламас бұрын төрт күйді оқыңыз

Интерфейс пен маршруттан бастаңыз, содан кейін ассоциациядан, содан кейін қолданбадан. Әрқайсысының өз командасы және өз ақау белгісі бар. Бір қабаттағы таза нәтиже келесі қабаттағы таза нәтиже емес. Қорытынды жасамас бұрын төртеуін де орындаңыз. Бір жасыл жол сирек нәрсені шешеді.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Санауышы өсіп жатқан, бірақ сәйкес күй жазбасы жоқ интерфейс ештеңе қорғамайтын жолға кіретін трафикті сипаттайды, бұл жай ғана өшіп қалған туннельден нашар. Интерфейсті таңдайтын маршруты жоқ күй жазбасы криптография дайын және пайдаланылмағанын білдіреді.

Қолданба тесті әдейі соңында келеді: туннельдің арғы жағына сәтті ping артындағы қызметтің қосылымдарды қабылдайтынын дәлелдемейді.

Ішкі санауыштарды сыртқы санауыштармен салыстырыңыз

Туннель интерфейсіндегі санауыштар ішкі трафикті өлшейді; физикалық интерфейстегі санауыштар мен түсірілімдер инкапсуляцияланған алмасуды көрсетеді. Бұл екеуі бір-біріне сәйкес келмейді, өйткені инкапсуляция тақырыптарды қосады, қайта жіберулер кейбір пакеттерді қайталайды және іске асырудың есебі өз ережелеріне сүйенеді. Теңдікті емес, қатынасты күтіңіз.

Түсірілімнің орны қандай жеке деректерді жинайтыныңызды да анықтайды, сондықтан өндірістік трафикті толық түсіру орнына тар сүзгілер мен зиянсыз сынақ мекенжайын пайдаланыңыз.

Ішкі санауыштар өсіп, сыртқылары өспесе, жетіспейтін қадам әдетте пакеттерді туннельге жіберетін маршрут немесе саясат, туннельдің өзі емес.

Кілттерді жаңарту мен ауысу кезінде бақылаңыз

Сол төрт күйді бақылай отырып, кілттерді жаңартуды, өлі серіктесті анықтау оқиғасын және байланыстың қосалқы ауысуын бақылаңыз. Интерфейс ешқашан аяқталмайтын кілттерді жаңарту кезінде де сақталуы мүмкін, ал ауысу күй жазбасын енді қолжетімсіз серіктес мекенжайына бағыттап қалдыруы мүмкін.

Шынымен тәуелді болатын қызмет жолында, ассоциация күйін контекст ретінде пайдаланып дабыл беріңіз, бір жоғары немесе төмен жалаушада емес. Интерфейс атауын, серіктес мекенжайын және маршрутты дабыл жүктемесінде ұстаңыз, сонда жауап беруші оларды қайта құруға мәжбүр болмайды.

strongSwan өзінің XFRM интерфейс моделін құжаттайды, ал басқа платформалар баламалы нысанды басқаша атайды және іске асырады. Басқа іске асырудан болжамдарды көшірмес бұрын алдыңыздағы құрылғы үшін маршрутқа негізделген салыстыруды оқыңыз. Бір өндірушінің санауыштарына сәйкес келетін бақылау үлгісі басқасында үнсіз жаңылтады.