Eng IPsec-Tunnel-Interface iwwerwaachen: wat liesen

En routebaséierten IPsec-Design installéiert eng virtuell Interface, an déi Interface gëtt der Iwwerwaachung en konkreten Objet: eppes mat engem Numm, Zähler an enger Route, déi drop hänkt. Et ass net vun sech aus en Gesundheitssignal. D’Interface kann existéieren, wärend keng notzbar Associatioun installéiert ass, an eng Associatioun kann gesond sinn, wärend keng Route den interessante Verkéier dohi schéckt. Et ass véier Zustänn zesummen ze liesen, wat aus engem Paketzähler eng Diagnos mécht.

Gitt se der Rei no duerch a stoppt bei deem éischten, deen feelt.

Wat d’Interface zum Bild bäidréit

Bei engem policybaséierten Design lieft d’Auswiel an der IPsec-Politiktabelle an de Kernel entscheet, wat op Basis vu Verkéiersselektoren geschützt gëtt. En routebaséierten Design setzt eng Interface an eng Route derbäi, sou datt tcpdump an Interface-Zähler eng Grenz gesinn amplaz engem Set Selektoren. Dat ass eng reell Gewënn fir d’Diagnos a fir Routing-Protokollen, déi eng Interface brauchen, fir driwwer ze peeren.

D’Gewënn ass administrativ, net kryptografesch. D’Interface rapporteiert de Verkéier, deen se dréit, a seet näischt doriwwer, ob de Schutz vum Peer de Moment notzbar ass.

Liest déi véier Zustänn, ier Dir den Tunnel beschëllegt

Fänkt mat der Interface an der Route un, dann der Associatioun, dann der Applikatioun. Jiddereen huet säin eegene Kommando a seng eegen Feelsignatur. En proppert Resultat op enger Schicht ass kee proppert Resultat op der nächster. Féiert all véier aus, ier Dir eng Konklusioun zitt. Eng gréng Linn entscheet seelen eppes.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Eng Interface mat engem klëmmenden Zähler, awer ouni passenden Zustandsentrée, beschreift Verkéier, deen an e Wee kënnt, wou näischt en schützt, wat méi schlëmm ass wéi en Tunnel, deen einfach erof ass. En Zustandsentrée ouni Route, déi d’Interface auswielt, heescht, datt d’Kryptografie bereet an onbenotzt ass.

Den Applikatiounstest kënnt als Lescht an express: en erfollegräiche Ping op déi aner Säit vum Tunnel beweist net, datt de Service hannendrun Verbindungen akzeptéiert.

Vergläicht bannenzeg Zähler mat baussenzegen

Zähler op der Tunnelinterface moossen bannenzegen Verkéier; Zähler an Opname op der physescher Interface weisen den agekapselten Austausch. Déi zwee wäerten net ee fir een iwwereneestëmmen, well Inkapselung Headeren derbäisetzt, Neisendungen e puer Paketen duplizéieren an d’Buchhaltung vun der Implementatioun hirem eege Reegelen follegt. Erwaart e Verhältnis, keng Gläichheet.

D’Plaz vun der Opnam entscheet och, wéi eng privat Donnéeë Dir sammelt, also benotzt enk Filteren an eng harmlos Testadress amplaz enger kompletter Opnam vum Produktiounsverkéier.

Wann déi bannenzeg Zählere klëmmen an déi baussenzeg net, ass de fehlenden Schrëtt meeschtens d’Route oder d’Politik, déi Paketen an den Tunnel schéckt, net den Tunnel selwer.

Verfollegt et iwwer Rekey a Failover

Observéiert en Rekey, en Event vun der Erfaassung vun engem doudege Peer an e Link-Failover, während Dir déi selwecht véier Zustänn am A behält. Eng Interface kann duerch en Rekey, deen ni fäerdeg gëtt, präsent bleiwen, an e Failover kann en Zustandsentrée hannerloossen, deen op eng Peeradress weist, déi net méi erreechbar ass.

Alarméiert op deem Servicewee, vun deem Dir wierklech ofhänkt, mam Associatiounszoustand als Kontext, amplaz op enger eenzeger Op- oder Of-Flag. Hält den Interface-Numm, d’Peeradress an d’Route an der Alarmpayloard, sou datt dee, deen reagéiert, se net muss rekonstruéieren.

strongSwan dokumentéiert säin eege XFRM-Interfacemodell, an aner Plattformen nennen an implementéieren den equivalente Géigestand anescht. Liest de routebaséierte Verglach fir den Apparat virun Iech, ier Dir Unhuelen aus enger anerer Implementatioun iwwerdréit. E Monitoring-Schabloun, déi zu engem Hiersteller senge Zählere passt, wäert op engem aneren ongemierkt an d’Ier féieren.