Эмне үчүн бош эмес IPsec туннели ачкычтарды эрте жаңыртат: убакыт жана көлөм чеги

Болжол менен ар элүү мүнөт сайын тыгындуу байланыштагы туннель бир нече секундга түшүп калат, ал эми биринчи шектүү — саат. Бирикмелер убакыт чеги менен же байт саны менен бүтүшү мүмкүн, жана кайсы чек мурун келсе, ошол аларды пенсияга чыгарат. Реалдуу трафик ташыган байланышта көлөм чеги конфигурацияланган саат бүтө электе эле эрте иштеп кетиши мүмкүн. Ошондуктан «өтө эрте» деген саат жөнүндөгү билдирүү, бирикме жөнүндө эмес.

Бирикме эмнени санаса, ошону санаңыз, интерфейсти эмес

Интерфейстин байт суммасы, тактанын бириктирилген өткөрүү жөндөмү жана бирикменин өз эсептегичи — үч өзүнчө сан, жана алардын бирөө гана чек менен салыштырылат. Кирүүчү жана чыгуучу бирикмелерди идентификаторлору менен өзүнчө жазыңыз, ошондо бир багытка тийген ачкыч жаңыртуу табышмак эмес, багыттуу окуя катары көрүнөт. Бирикменин эсептегичи да ачкыч жаңыртууда кайра башталат, ошондуктан интерфейстен алынган сумма өсөт, ал эми маанилүү маани нөлгө түшөт.

Эсепти бир жолу жасоо татыктуу, ошондо чоңдуктардын тартиби өзүм билемдик болуп сезилбей калат. Мүнөтүнө туруктуу 128 мебибайт ылдамдык менен сарпталган бир гибибайттык эсептелген бюджет сегиз мүнөттө бүтөт, жана бул бирдиктерди айландыруу, сиздин туннелди өлчөө эмес. Эгер натыйжадагы сан убакыт чегинен бир кыйла төмөн болсо, механизм — көлөм, жана саатка кароо интервалды түшүндүрбөйт. Эгер ал бир кыйла жогору болсо, байт чеги сиздин триггериңиз эмес жана издөө башка жерге таандык.

Жумшак жана катуу босого эки башка окуя

Жумшак босого катуу чек бирикмени бүтүрө электе эле алмаштырууну сурайт, ал эми ишке ашыруулар сиз конфигурациялаган нерсенин үстүнө өз маржаларын жана рандомизациясын кошот. Ошондуктан байкалган интервал дээрлик эч качан тегерек сан болбойт. IPsec архитектурасы өмүрлөрдү убакыт жана байт саны менен эки босого түрүндө сүрөттөйт, жана эрте бүткөн мөөнөт басымдуу. Бир басылган өмүрдү график катары кабыл алсаңыз, маржа өлчөмүндө жаңылышасыз.

Натыйжалуу саясатты файлдагы сандан божомолдобой, иштеп жаткан абалдан окуңуз, анткени маржа ишке ашырууга таандык, сиздин ниетиңизге эмес. Симптомду басуу үчүн чектерди максимумуна чейин созуу азгырыгына каршы туруңуз: график боюнча ачкычтарды алмаштырган туннель долбоорлогондой иштейт, ал эми узунураак өмүр окуяны жөн гана кечеңдетет, бузулган ачкычты узагыраак колдонууга жарактуу кармап турат. Алмаштыруу өзү ийгиликсиз болгондо, чек — кабарчы, күнөө эмес.

Натыйжалуу өмүрдү иштеп жаткан абалдан окуңуз

strongSwanда swanctl --list-sas бирикме корутундусун ачкыч жаңыртуу жана өмүр убакыттары менен басып чыгарат, ошондуктан демон колдонмок болгон маани божомолсуз көрүнөт. Демон көрүнүшү жок Linux хостто ip xfrm state конфигурацияланган жумшак жана катуу байт жана пакет чектерин учурдагы эсептегичтердин жанында билдирет. Бул эки окуу ар кандай суроолорго жооп берет жана экөөнү тең билетте сактоо татыктуу.

swanctl --list-sas
ip -s xfrm state

Басылган жумшак босогону сиз өлчөгөн интервал менен салыштырыңыз, анткени катуу чектен төмөн маржа менен башталган алмаштыруу кадимки, ал эми эч качан башталбаганы андай эмес. Эгер демон бир өмүрдү, ал эми ядронун абалы башка өмүрдү көрсөтсө, сиз макулдашпаган эки катмарды карап жатасыз, жана бул өзү табылга.

SAны алмаштырган алмашууну көзөмөлдөңүз

үч жаңылоо өзүнчө кармаңыз, анткени алар ар кандай ийгиликсиздикке учурайт: IKE SA ачкыч жаңыртуу жаңы башкаруу бирикмесин курат, CHILD SA ачкыч жаңыртуу дайындар бирикмесин алмаштырат, ал эми кайра аутентификация идентификация алмашуусун кайталайт. IKEv2де ар бир тарап бир жалпы маани жөнүндө сүйлөшүүнүн ордуна өз өмүрлөрүн чечет, ошондуктан сиз баштабаган алмашуу кадимки. perfect forward secrecy шайкешсиздиги жаңы child SA так ачкыч жаңыртуу интервалында өлүшүнүн жыш себеби, жана бирөө сунушту окуганга чейин ал так таймер бузулушуна окшош.

Эски бирикмени анын мураскери жана аны жараткан алмашуу менен салыштырыңыз. Идентификатордун жоголушу — кадимки алмаштыруу; четке кагылган сунуш, жок жооп же жарактуу мураскер абалынын жоктугу — башка ээси бар башка окуя. Бир нерсени өзгөртүүдөн мурун ошол далилди сактаңыз, анткени версияга тиешелүү жазуулар, тараптын сунушу жана макулдашылган өмүрлөр журналдар айлангандан кийин бир жумадан соң ишти окуй алгыдай кылат.

Жаңылоону жашыруунун ордуна далилдеңиз

Жайгаштырууну өзүңүзгө боло турган жаңылоо эмес, пландаган жаңылоо аркылуу кабыл алыңыз. Тейлөө терезесинде бир ачкыч жаңыртууну мажбурлаңыз, анан эки багыт тең андан кийин дайындарды ташыганын жана колдонмо натыйжасы өзгөрбөгөнүн ырастаңыз, туннель индикатору жашыл болгону гана эмес. Кайсы чек иштегенин жана кайсы алмашуу катышканын жазыңыз.

Ушундай формадагы корутунду текшерүүдөн өтөт, ал эми байланышты бир түштөн кийин тынч көрсөткөн өзгөртүлгөн таймер мааниси өтпөйт. Эгер таймер гана жылса, далил да аны менен жылды.