IPsec ಸುರಂಗ ಸಮಯಕ್ಕಿಂತ ಮೊದಲು ಕೀ ಬದಲಿಸುವುದೇಕೆ: ಸಮಯ ಮತ್ತು ಪರಿಮಾಣ ಮಿತಿಗಳು

ಸುಮಾರು ಪ್ರತಿ ಐವತ್ತು ನಿಮಿಷಕ್ಕೊಮ್ಮೆ ಕಿಕ್ಕಿರಿದ ಕೊಂಡಿಯ ಸುರಂಗವು ಕೆಲವು ಸೆಕೆಂಡುಗಳ ಕಾಲ ಬೀಳುತ್ತದೆ, ಮತ್ತು ಮೊದಲ ಶಂಕಿತ ಗಡಿಯಾರ. ಸಂಘಗಳು ಸಮಯ ಮಿತಿಯಲ್ಲಿ ಅಥವಾ ಬೈಟ್ ಎಣಿಕೆಯಲ್ಲಿ ಮುಗಿಯಬಹುದು, ಮತ್ತು ಯಾವ ಮಿತಿ ಮೊದಲು ಬರುತ್ತದೆಯೋ ಅದೇ ಅವನ್ನು ನಿವೃತ್ತಿಗೊಳಿಸುತ್ತದೆ. ನಿಜವಾದ ಸಂಚಾರ ಸಾಗಿಸುವ ಕೊಂಡಿಯಲ್ಲಿ, ಪರಿಮಾಣ ಮಿತಿ ಸಂರಚಿಸಿದ ಗಂಟೆ ಮುಗಿಯುವ ಬಹಳ ಮೊದಲೇ ಸಕ್ರಿಯವಾಗಬಹುದು. ಆದ್ದರಿಂದ «ಬಹಳ ಬೇಗ» ಎಂಬುದು ಗಡಿಯಾರದ ಬಗ್ಗೆ ಹೇಳಿಕೆ, ಸಂಘದ ಬಗ್ಗೆ ಅಲ್ಲ.

ಇಂಟರ್ಫೇಸ್ ಅಲ್ಲ, ಸಂಘ ಏನನ್ನು ಎಣಿಸುತ್ತದೆಯೋ ಅದನ್ನು ಎಣಿಸಿ

ಇಂಟರ್ಫೇಸಿನ ಒಟ್ಟು ಬೈಟ್, ಡ್ಯಾಶ್ಬೋರ್ಡಿನ ಸಂಯೋಜಿತ ಥ್ರೂಪುಟ್ ಮತ್ತು ಸಂಘದ ಸ್ವಂತ ಎಣಿಕೆ ಮೂರು ಬೇರೆ ಸಂಖ್ಯೆಗಳು, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಒಂದನ್ನು ಮಾತ್ರ ಮಿತಿಯೊಂದಿಗೆ ಹೋಲಿಸಲಾಗುತ್ತದೆ. ಒಳಬರುವ ಮತ್ತು ಹೊರಹೋಗುವ ಸಂಘಗಳನ್ನು ಅವುಗಳ ಗುರುತಿಸುವಿಕೆಗಳೊಂದಿಗೆ ಪ್ರತ್ಯೇಕವಾಗಿ ದಾಖಲಿಸಿ, ಇದರಿಂದ ಒಂದು ದಿಕ್ಕನ್ನು ಮುಟ್ಟುವ ಕೀ ಬದಲಾವಣೆ ರಹಸ್ಯದ ಬದಲು ದಿಕ್ಕಿನ ಘಟನೆಯಾಗಿ ಕಾಣುತ್ತದೆ. ಸಂಘದ ಎಣಿಕೆ ಕೂಡ ಕೀ ಬದಲಾವಣೆಯಲ್ಲಿ ಮತ್ತೆ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಇಂಟರ್ಫೇಸಿನಿಂದ ತೆಗೆದ ಒಟ್ಟು ಹೆಚ್ಚಾಗುತ್ತದೆ, ಮುಖ್ಯವಾದ ಮೌಲ್ಯ ಮರುಹೊಂದಿಸಲ್ಪಡುತ್ತದೆ.

ಗಣನೆಯನ್ನು ಒಮ್ಮೆ ಮಾಡುವುದು ಯೋಗ್ಯ, ಇದರಿಂದ ಪರಿಮಾಣದ ಕ್ರಮ ಅನಿಯಂತ್ರಿತವೆನಿಸುವುದು ನಿಲ್ಲುತ್ತದೆ. ನಿಮಿಷಕ್ಕೆ ಸ್ಥಿರ 128 ಮೆಬಿಬೈಟ್ ದರದಲ್ಲಿ ಖರ್ಚಾಗುವ ಒಂದು ಗಿಬಿಬೈಟ್ ಎಣಿಸಿದ ಬಜೆಟ್ ಎಂಟು ನಿಮಿಷಗಳಲ್ಲಿ ಖಾಲಿಯಾಗುತ್ತದೆ, ಮತ್ತು ಅದು ಘಟಕ ಪರಿವರ್ತನೆ, ನಿಮ್ಮ ಸುರಂಗದ ಮಾಪನವಲ್ಲ. ಫಲಿತಾಂಶದ ಸಂಖ್ಯೆ ಸಮಯ ಮಿತಿಗಿಂತ ಬಹಳ ಕೆಳಗಿದ್ದರೆ, ಪರಿಮಾಣವೇ ಕಾರ್ಯವಿಧಾನ ಮತ್ತು ಗಡಿಯಾರ ನೋಡುವುದರಿಂದ ಅಂತರ ವಿವರಣೆಯಾಗದು. ಅದು ಬಹಳ ಮೇಲಿದ್ದರೆ, ಬೈಟ್ ಮಿತಿ ನಿಮ್ಮ ಪ್ರಚೋದಕವಲ್ಲ ಮತ್ತು ಹುಡುಕಾಟ ಬೇರೆಡೆಗೆ ಸೇರಿದೆ.

ಮೃದು ಮತ್ತು ಕಠಿಣ ಮಿತಿಗಳು ಎರಡು ಬೇರೆ ಘಟನೆಗಳು

ಕಠಿಣ ಮಿತಿ ಸಂಘವನ್ನು ಮುಗಿಸುವ ಬಹಳ ಮೊದಲೇ ಮೃದು ಮಿತಿ ಬದಲಿಯನ್ನು ಕೇಳುತ್ತದೆ, ಮತ್ತು ಅನುಷ್ಠಾನಗಳು ನೀವು ಸಂರಚಿಸಿದ್ದರ ಮೇಲೆ ತಮ್ಮ ಮಾರ್ಜಿನ್ ಮತ್ತು ಯಾದೃಚ್ಛೀಕರಣವನ್ನು ಸೇರಿಸುತ್ತವೆ. ಆದ್ದರಿಂದ ಗಮನಿಸಿದ ಅಂತರ ಬಹುತೇಕ ಎಂದಿಗೂ ದುಂಡು ಸಂಖ್ಯೆಯಾಗಿರುವುದಿಲ್ಲ. IPsec ಆರ್ಕಿಟೆಕ್ಚರ್ ಸಮಯ ಮತ್ತು ಬೈಟ್ ಎಣಿಕೆಯಲ್ಲಿ ವ್ಯಕ್ತವಾದ ಜೀವಿತಾವಧಿಗಳನ್ನು ಎರಡು ಬಗೆಯ ಮಿತಿಗಳೊಂದಿಗೆ ವಿವರಿಸುತ್ತದೆ, ಮತ್ತು ಮೊದಲು ಮುಗಿಯುವುದೇ ಅನ್ವಯಿಸುತ್ತದೆ. ಒಂದು ಮುದ್ರಿತ ಜೀವಿತಾವಧಿಯನ್ನು ವೇಳಾಪಟ್ಟಿ ಎಂದು ಪರಿಗಣಿಸಿದರೆ ಮಾರ್ಜಿನ್ ಮಟ್ಟಿಗೆ ತಪ್ಪಾಗುತ್ತದೆ.

ಪರಿಣಾಮಕಾರಿ ನೀತಿಯನ್ನು ಫೈಲಿನಲ್ಲಿನ ಸಂಖ್ಯೆಯಿಂದ ಊಹಿಸುವ ಬದಲು ಚಾಲಿತ ಸ್ಥಿತಿಯಿಂದ ಓದಿ, ಏಕೆಂದರೆ ಮಾರ್ಜಿನ್ ಅನುಷ್ಠಾನಕ್ಕೆ ಸೇರಿದ್ದು, ನಿಮ್ಮ ಉದ್ದೇಶಕ್ಕಲ್ಲ. ಲಕ್ಷಣವನ್ನು ಸುಮ್ಮನಾಗಿಸಲು ಮಿತಿಗಳನ್ನು ಅವುಗಳ ಗರಿಷ್ಠದತ್ತ ಎಳೆಯುವ ಪ್ರಲೋಭನೆಯನ್ನು ಎದುರಿಸಿ: ವೇಳಾಪಟ್ಟಿಯಂತೆ ಕೀ ಬದಲಿಸುವ ಸುರಂಗ ವಿನ್ಯಾಸದಂತೆ ವರ್ತಿಸುತ್ತದೆ, ಮತ್ತು ಉದ್ದವಾದ ಜೀವಿತಾವಧಿ ಘಟನೆಯನ್ನು ಮುಂದೂಡಿ ರಾಜಿಯಾದ ಕೀಯನ್ನು ಹೆಚ್ಚು ಕಾಲ ಬಳಸಲು ಬಿಡುತ್ತದೆ. ಬದಲಿಯೇ ವಿಫಲವಾದಾಗ, ಮಿತಿ ದೂತ, ತಪ್ಪಲ್ಲ.

ಚಾಲಿತ ಸ್ಥಿತಿಯಿಂದ ಪರಿಣಾಮಕಾರಿ ಜೀವಿತಾವಧಿ ಓದಿ

strongSwan ನಲ್ಲಿ, swanctl --list-sas ಸಂಘದ ಸಾರಾಂಶವನ್ನು ಅದರ ಕೀ-ಬದಲಾವಣೆ ಮತ್ತು ಜೀವಿತ ಸಮಯಗಳೊಂದಿಗೆ ಮುದ್ರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಡೀಮನ್ ಜಾರಿಗೊಳಿಸಲು ಉದ್ದೇಶಿಸುವ ಮೌಲ್ಯ ಊಹೆಯಿಲ್ಲದೆ ಕಾಣುತ್ತದೆ. ಡೀಮನ್ ನೋಟವಿಲ್ಲದ Linux ಆತಿಥೇಯದಲ್ಲಿ, ip xfrm state ಸಂರಚಿತ ಮೃದು ಮತ್ತು ಕಠಿಣ ಬೈಟ್ ಹಾಗೂ ಪ್ಯಾಕೆಟ್ ಮಿತಿಗಳನ್ನು ಪ್ರಸ್ತುತ ಎಣಿಕೆಗಳ ಪಕ್ಕದಲ್ಲಿ ವರದಿ ಮಾಡುತ್ತದೆ. ಆ ಎರಡು ಓದಿಕೆಗಳು ಬೇರೆ ಪ್ರಶ್ನೆಗಳಿಗೆ ಉತ್ತರಿಸುತ್ತವೆ ಮತ್ತು ಎರಡೂ ಟಿಕೆಟ್ನಲ್ಲಿ ಇಡಲು ಯೋಗ್ಯ.

swanctl --list-sas
ip -s xfrm state

ಮುದ್ರಿತ ಮೃದು ಮಿತಿಯನ್ನು ನೀವು ಅಳೆದ ಅಂತರದೊಂದಿಗೆ ಹೋಲಿಸಿ, ಏಕೆಂದರೆ ಕಠಿಣ ಮಿತಿಯ ಕೆಳಗೆ ಮಾರ್ಜಿನ್ನಿಂದ ಪ್ರಾರಂಭವಾಗುವ ಬದಲಿ ಸಾಮಾನ್ಯ, ಎಂದಿಗೂ ಪ್ರಾರಂಭವಾಗದ್ದು ಅಲ್ಲ. ಡೀಮನ್ ಒಂದು ಜೀವಿತಾವಧಿ ತೋರಿಸಿ ಕೆರ್ನೆಲ್ ಸ್ಥಿತಿ ಇನ್ನೊಂದನ್ನು ತೋರಿಸಿದರೆ, ನೀವು ಒಪ್ಪದ ಎರಡು ಪದರಗಳನ್ನು ನೋಡುತ್ತಿದ್ದೀರಿ, ಮತ್ತು ಅದೇ ಸ್ವತಃ ಕಂಡುಹಿಡಿಯುವಿಕೆ.

SA ಬದಲಿಸುವ ವಿನಿಮಯವನ್ನು ಗಮನಿಸಿ

ಮೂರು ನವೀಕರಣಗಳು ಪ್ರತ್ಯೇಕವಾಗಿ ಇರಿಸಿ, ಏಕೆಂದರೆ ಅವು ಬೇರೆ ರೀತಿಯಲ್ಲಿ ವಿಫಲವಾಗುತ್ತವೆ: IKE SA ಕೀ ಬದಲಾವಣೆ ಹೊಸ ನಿಯಂತ್ರಣ ಸಂಘವನ್ನು ಕಟ್ಟುತ್ತದೆ, CHILD SA ಕೀ ಬದಲಾವಣೆ ದತ್ತಾಂಶ ಸಂಘವನ್ನು ಬದಲಿಸುತ್ತದೆ, ಮತ್ತು ಮರುದೃಢೀಕರಣ ಗುರುತಿನ ವಿನಿಮಯವನ್ನು ಪುನರಾವರ್ತಿಸುತ್ತದೆ. IKEv2 ನಲ್ಲಿ ಪ್ರತಿ ಸಹಚರ ಒಂದು ಹಂಚಿದ ಮೌಲ್ಯದ ಮೇಲೆ ಮಾತುಕತೆ ನಡೆಸುವ ಬದಲು ತನ್ನದೇ ಜೀವಿತಾವಧಿಗಳನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ನೀವು ಪ್ರಾರಂಭಿಸದ ವಿನಿಮಯ ಸಾಮಾನ್ಯ. perfect forward secrecy ಹೊಂದಾಣಿಕೆಯಿಲ್ಲದಿರುವುದು ಹೊಸ child SA ನಿಖರವಾಗಿ ಕೀ-ಬದಲಾವಣೆ ಅಂತರದಲ್ಲಿ ಸಾಯುವುದಕ್ಕೆ ಪದೇ ಪದೇ ಕಾರಣ, ಮತ್ತು ಯಾರಾದರೂ ಪ್ರಸ್ತಾವ ಓದುವವರೆಗೆ ಅದು ನಿಖರವಾಗಿ ಟೈಮರ್ ದೋಷದಂತೆ ಕಾಣುತ್ತದೆ.

ಹಳೆಯ ಸಂಘವನ್ನು ಅದರ ಉತ್ತರಾಧಿಕಾರಿ ಮತ್ತು ಅದನ್ನು ಸೃಷ್ಟಿಸಿದ ವಿನಿಮಯದೊಂದಿಗೆ ಹೋಲಿಸಿ. ಗುರುತಿಸುವಿಕೆ ಮಾಯವಾಗುವುದು ನಿಯಮಿತ ಬದಲಿ; ತಿರಸ್ಕರಿಸಿದ ಪ್ರಸ್ತಾವ, ಕಾಣದ ಪ್ರತಿಕ್ರಿಯೆ ಅಥವಾ ಬಳಸಬಹುದಾದ ಉತ್ತರಾಧಿಕಾರಿ ಸ್ಥಿತಿಯ ಅನುಪಸ್ಥಿತಿ ಬೇರೆ ಮಾಲೀಕನ ಬೇರೆ ಘಟನೆ. ಏನನ್ನಾದರೂ ಬದಲಿಸುವ ಮೊದಲು ಆ ಸಾಕ್ಷ್ಯವನ್ನು ಉಳಿಸಿ, ಏಕೆಂದರೆ ಆವೃತ್ತಿ-ನಿರ್ದಿಷ್ಟ ಟಿಪ್ಪಣಿಗಳು, ಸಹಚರನ ಪ್ರಸ್ತಾವ ಮತ್ತು ಮಾತುಕತೆಯಾದ ಜೀವಿತಾವಧಿಗಳೇ ಲಾಗ್ಗಳು ತಿರುಗಿದ ನಂತರ ಒಂದು ವಾರ ಕಳೆದು ಪ್ರಕರಣವನ್ನು ಓದಲು ಸಾಧ್ಯವಾಗಿಸುತ್ತವೆ.

ಮರೆಮಾಡುವ ಬದಲು ನವೀಕರಣ ಸಾಬೀತು ಮಾಡಿ

ನಿಮಗೆ ಸಂಭವಿಸುವ ನವೀಕರಣದ ಬದಲು ನೀವು ಯೋಜಿಸಿದ ನವೀಕರಣದ ಮೂಲಕ ಹಾದು ನಿಯೋಜನೆಯನ್ನು ಸ್ವೀಕರಿಸಿ. ನಿರ್ವಹಣಾ ಕಿಟಕಿಯೊಳಗೆ ಒಮ್ಮೆ ಕೀ ಬದಲಾವಣೆಯನ್ನು ಒತ್ತಾಯಿಸಿ, ನಂತರ ಎರಡೂ ದಿಕ್ಕುಗಳು ಮುಂದೆ ದತ್ತಾಂಶ ಸಾಗಿಸುತ್ತವೆ ಮತ್ತು ಅನ್ವಯದ ಫಲಿತಾಂಶ ಬದಲಾಗಿಲ್ಲ ಎಂದು ಖಚಿತಪಡಿಸಿ, ಸುರಂಗ ಸೂಚಕ ಹಸಿರಾಗಿದೆ ಎಷ್ಟೇ ಅಲ್ಲ. ಯಾವ ಮಿತಿ ಸಕ್ರಿಯವಾಯಿತು ಮತ್ತು ಯಾವ ವಿನಿಮಯ ಒಳಗೊಂಡಿತ್ತು ಎಂದು ದಾಖಲಿಸಿ.

ಆ ರೂಪದ ತೀರ್ಮಾನ ಪರಿಶೀಲನೆಯನ್ನು ತಾಳುತ್ತದೆ, ಆದರೆ ಸಂಪರ್ಕವನ್ನು ಒಂದು ಮಧ್ಯಾಹ್ನ ಶಾಂತವಾಗಿ ಕಾಣಿಸಿದ ಬದಲಾದ ಟೈಮರ್ ಮೌಲ್ಯ ತಾಳುವುದಿಲ್ಲ. ಕೇವಲ ಟೈಮರ್ ಜರಿದರೆ, ಸಾಕ್ಷ್ಯವೂ ಅದರೊಂದಿಗೆ ಜರಿಯಿತು.