Kodėl užimtas IPsec tunelis raktus keičia anksti: laiko ir apimties ribos

Maždaug kas penkiasdešimt minučių užimtos jungties tunelis kelioms sekundėms nukrenta, ir pirmasis įtariamasis yra laikrodis. Asociacijos gali baigtis pagal laiko ribą arba pagal baitų skaičių, ir kuri riba ateina pirmoji, ta juos išleidžia į pensiją. Jungtyje, kuri neša tikrą srautą, apimties riba gali suveikti gerokai prieš pasibaigiant sukonfigūruotai valandai. Taigi „per anksti“ yra teiginys apie laikrodį, o ne apie asociaciją.

Skaičiuokite tai, ką skaičiuoja asociacija, o ne sąsają

Sąsajos baitų suma, prietaisų skydelio bendras pralaidumas ir pačios asociacijos skaitiklis yra trys atskiri skaičiai, ir tik vienas iš jų lyginamas su riba. Įrašykite įeinančią ir išeinančią asociacijas atskirai su jų identifikatoriais, kad vieną kryptį liečiantis raktų keitimas pasirodytų kaip kryptinis įvykis, o ne mįslė. Asociacijos skaitiklis taip pat pradedamas iš naujo keičiant raktus, todėl iš sąsajos paimta suma auga, o svarbi reikšmė nustatoma iš naujo.

Skaičiavimą verta atlikti vieną kartą, kad dydžio eilė nustotų atrodžiusi savavališka. Suskaičiuotas vieno gibibaito biudžetas, sunaudojamas pastoviu 128 mebibaitų per minutę tempu, išsenka per aštuonias minutes, ir tai yra vienetų perskaičiavimas, o ne jūsų tunelio matavimas. Jei gautas skaičius yra gerokai žemiau laiko ribos, apimtis yra mechanizmas, ir joks laikrodžio stebėjimas nepaaiškins intervalo. Jei jis gerokai aukščiau, baitų riba nėra jūsų trigeris, ir paieška priklauso kitur.

Minkšta ir kieta slenkstis yra du skirtingi įvykiai

Minkšta slenkstis prašo pakeitimo gerokai anksčiau, nei kieta riba užbaigia asociaciją, o įgyvendinimai prideda savo maržas ir atsitiktinumą virš to, ką sukonfigūravote. Todėl stebimas intervalas beveik niekada nėra apvalus skaičius. IPsec architektūra aprašo gyvavimo trukmes, išreikštas laiku ir baitų skaičiumi, su dviem slenksčių rūšimis, ir galioja ankstesnis pasibaigimas. Jei vieną spausdintą trukmę laikysite grafiku, suklysite maržos dydžiu.

Efektyvią politiką skaitykite iš veikiančios būsenos, o ne išveskite ją iš skaičiaus faile, nes marža priklauso įgyvendinimui, o ne jūsų ketinimui. Priešinkitės pagundai ištempti ribas iki jų maksimumo, kad nutildytumėte simptomą: tunelis, keičiantis raktus pagal grafiką, elgiasi taip, kaip suprojektuotas, o ilgesnė trukmė tik atideda įvykį, laikydama pažeistą raktą ilgiau tinkamu naudoti. Kai pats pakeitimas nepavyksta, riba yra pasiuntinys, o ne kaltė.

Efektyvią trukmę skaitykite iš veikiančios būsenos

„strongSwan“ swanctl --list-sas išspausdina asociacijos santrauką su raktų keitimo ir gyvavimo laikais, todėl reikšmė, kurią demonas ketina taikyti, matoma be spėliojimų. Linux pagrindinėje be demono rodinio ip xfrm state praneša sukonfigūruotas minkštas ir kietas baitų bei paketų ribas greta dabartinių skaitiklių. Tie du rodmenys atsako į skirtingus klausimus, ir abu verta pasilikti biliete.

swanctl --list-sas
ip -s xfrm state

Palyginkite išspausdintą minkštą slenkstį su intervalu, kurį išmatavote, nes pakeitimas, prasidedantis su marža žemiau kietos ribos, yra normalus, o toks, kuris niekada neprasideda, nėra. Jei demonas rodo vieną trukmę, o branduolio būsena kitą, matote du nesutariančius sluoksnius, ir tai savaime yra radinys.

Stebėkite mainus, kurie pakeičia SA

Laikykite tris atnaujinimus atskirai, nes jie nepavyksta skirtingai: IKE SA raktų keitimas sukuria naują valdymo asociaciją, CHILD SA raktų keitimas pakeičia duomenų asociaciją, o pakartotinė autentifikacija pakartoja tapatybės mainus. IKEv2 kiekviena šalis sprendžia dėl savo trukmių, o ne derasi dėl vienos bendros reikšmės, todėl jūsų nepradėti mainai yra įprasti. perfect forward secrecy neatitikimas yra dažna priežastis, kodėl nauja child SA miršta būtent raktų keitimo intervale, ir tai atrodo lygiai kaip laikmačio gedimas, kol kas nors perskaito pasiūlymą.

Palyginkite seną asociaciją su jos įpėdine ir su mainais, kurie ją sukūrė. Išnykstantis identifikatorius yra įprastas pakeitimas; atmestas pasiūlymas, trūkstamas atsakymas ar naudingos įpėdinės būsenos nebuvimas yra kitas įvykis su kitu savininku. Išsaugokite tuos įrodymus prieš ką nors keisdami, nes versijai būdingos pastabos, partnerio pasiūlymas ir suderėtos trukmės yra tai, kas padaro bylą perskaitomą po savaitės, kai žurnalai jau apsisuks.

Įrodykite atnaujinimą, o ne slėpkite jį

Priimkite diegimą pereidami per atnaujinimą, kurį suplanavote, o ne per tą, kuris jums nutinka. Priverskite vieną raktų keitimą techninės priežiūros lange, tada patvirtinkite, kad po to abi kryptys neša duomenis ir programos rezultatas nepakitęs, o ne vien tai, kad tunelio indikatorius žalias. Užrašykite, kuri riba suveikė ir kurie mainai buvo įtraukti.

Tokios formos išvada atlaiko patikrinimą, o pakeista laikmačio reikšmė, dėl kurios ryšys atrodė tylus visą popietę, ne. Jei pajudėjo tik laikmatis, įrodymai pajudėjo kartu su juo.