IPsec туннелинин интерфейсин көзөмөлдөө: эмнени окуу керек

Маршрутка негизделген IPsec дизайны виртуалдык интерфейс орнотот жана бул интерфейс көзөмөлгө конкреттүү объект берет: аты, эсептегичтери жана ага байланган маршруту бар нерсе. Ал өзүнүн эсебинен ден соолук сигналы эмес. Интерфейс колдонууга жарактуу эч кандай ассоциация орнотулбаганда да болушу мүмкүн, ал эми ассоциация ден соолукта болушу мүмкүн, бирок эч бир маршрут кызыктуу трафикти ага жибербейт. Төрт абалды чогуу окуу пакет эсептегичин диагнозго айландырат.

Аларды ирети менен карап чыгып, ийгиликсиз болгон биринчисинде токтогула.

Интерфейс сүрөткө эмне кошот

Саясатка негизделген дизайнда тандоо IPsec саясат таблицасында жашайт жана ядро трафик селекторлоруна таянып, эмнени коргоону чечет. Маршрутка негизделген дизайн интерфейс жана маршрут кошот, ошондуктан tcpdump жана интерфейс эсептегичтери селекторлор жыйындысынын ордуна бир чекти көрүшөт. Бул диагностика үчүн жана үстүнөн peering түзүүгө интерфейс керек болгон маршруттоо протоколдору үчүн чыныгы пайда.

Пайда административдик мүнөздө, криптографиялык эмес. Интерфейс өзү алып жүргөн трафик тууралуу билдирет жана өнөктөш тараптын коргоосу азыр колдонууга жарактуубу, ал тууралуу эч нерсе айтпайт.

Туннелди күнөөлөөдөн мурун төрт абалды окуңуз

Интерфейс жана маршруттан баштаңыз, анан ассоциациядан, анан колдонмодон. Ар биринин өз буйругу жана өз бузулуу белгиси бар. Бир катмардагы таза жыйынтык кийинки катмардагы таза жыйынтык эмес. Жыйынтык чыгарбастан мурун төртөөнү тең аткарыңыз. Бир жашыл сап сейрек бир нерсени чечет.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Эсептегичи өсүп жаткан, бирок тиешелүү абал жазуусу жок интерфейс эч нерсе коргобогон жолго кирген трафикти сүрөттөйт, бул жөн гана өчүп калган туннелден жаман. Интерфейсти тандаган маршруту жок абал жазуусу криптография даяр жана колдонулбаганын билдирет.

Колдонмо тести атайын эң акырында келет: туннелдин аркы тарабына ийгиликтүү ping артындагы кызматтын туташууларды кабыл аларын далилдебейт.

Ички эсептегичтерди тышкы эсептегичтер менен салыштырыңыз

Туннел интерфейсиндеги эсептегичтер ички трафикти өлчөйт; физикалык интерфейстеги эсептегичтер жана жазуулар инкапсуляцияланган алмашууну көрсөтөт. Бул экөө бири-бирине дал келбейт, анткени инкапсуляция темаларды кошот, кайра жөнөтүүлөр кээ бир пакеттерди кайталайт жана ишке ашыруунун эсеби өз эрежелерине таянат. Теңдикти эмес, катышты күтүңүз.

Жазуунун орду кандай жеке маалыматтарды чогултканыңызды да аныктайт, ошондуктан өндүрүштүк трафикти толук жазуунун ордуна тар чыпкаларды жана зыянсыз сыноо дарегин колдонуңуз.

Ички эсептегичтер өсүп, тышкылары өспөсө, жетишпеген кадам адатта пакеттерди туннелге жиберген маршрут же саясат, туннелдин өзү эмес.

Ачкычтарды жаңыртуу жана которулуу учурунда көзөмөлдөңүз

Ошол эле төрт абалды көзөмөлдөп, ачкычтарды жаңыртууну, өлүк өнөктөштү аныктоо окуясын жана байланыштын камдык которулушун байкаңыз. Интерфейс эч качан бүтпөгөн ачкычтарды жаңыртуу учурунда да сакталышы мүмкүн, ал эми которулуу абал жазуусун мындан ары жеткиликсиз өнөктөш дарегине багыттап калтырышы мүмкүн.

Чындап көз каранды болгон кызмат жолунда, ассоциация абалын контекст катары колдонуп эскертүү бериңиз, бир жогорку же төмөнкү желекчеде эмес. Интерфейс атын, өнөктөш дарегин жана маршрутту эскертүү жүгүндө кармаңыз, ошондо жооп берүүчү аларды кайра түзүүгө мажбур болбойт.

strongSwan өзүнүн XFRM интерфейс моделин документтештирет, ал эми башка платформалар эквиваленттүү объектини башкача аташат жана ишке ашырышат. Башка ишке ашыруудан божомолдорду көчүрүүдөн мурун алдыңыздагы түзмөк үчүн маршрутка негизделген салыштырууну окуңуз. Бир өндүрүүчүнүн эсептегичтерине туура келген көзөмөл шаблону башкасында үнсүз жаңылтат.