Kāpēc noslogots IPsec tunelis atslēgas maina agri: laika un apjoma ierobežojumi

Apmēram ik pēc piecdesmit minūtēm noslogotas saites tunelis uz dažām sekundēm nokrīt, un pirmais aizdomās turamais ir pulkstenis. Asociācijas var beigties ar laika ierobežojumu vai ar baitu skaitu, un kura robeža pienāk pirmā, tā tās aizsūta pensijā. Saitei, kas pārvadā reālu satiksmi, apjoma ierobežojums var iedarbojies ilgi pirms konfigurētās stundas beigām. Tātad «pārāk agri» ir apgalvojums par pulksteni, nevis par asociāciju.

Skaitiet to, ko skaita asociācija, nevis saskarni

Saskarnes baitu kopsumma, informācijas paneļa apvienotā caurlaidspēja un pašas asociācijas skaitītājs ir trīs atsevišķi skaitļi, un tikai viens no tiem tiek salīdzināts ar ierobežojumu. Ierakstiet ienākošo un izejošo asociāciju atsevišķi ar to identifikatoriem, lai atslēgu maiņa, kas skar vienu virzienu, parādītos kā virziena notikums, nevis kā mīkla. Asociācijas skaitītājs arī sākas no jauna atslēgu maiņas laikā, tāpēc no saskarnes ņemtā kopsumma pieaug, kamēr svarīgā vērtība tiek atiestatīta.

Aprēķinu ir vērts veikt vienreiz, lai lieluma kārta pārstātu šķist patvaļīga. Saskaitīts viena gibibaitu budžets, kas tiek iztērēts vienmērīgā 128 mebibaitu minūtē tempā, tiek izsmelts astoņās minūtēs, un tā ir vienību pārvēršana, nevis jūsu tuneļa mērījums. Ja iegūtais skaitlis atrodas krietni zem laika ierobežojuma, apjoms ir mehānisms, un pulksteņa vērošana intervālu neizskaidros. Ja tas ir krietni virs tā, baitu ierobežojums nav jūsu trigeris, un meklēšana pieder citur.

Mīkstais un cietais slieksnis ir divi dažādi notikumi

Mīkstais slieksnis lūdz aizstāšanu ilgi pirms cietā robeža pabeidz asociāciju, un ieviešanas pievieno savas rezerves un randomizāciju virs tā, ko jūs konfigurējāt. Tāpēc novērotais intervāls gandrīz nekad nav apaļš skaitlis. IPsec arhitektūra apraksta dzīves laikus, kas izteikti laikā un baitu skaitā, ar diviem sliekšņu veidiem, un noteicošā ir agrākā beigšanās. Ja vienu izdrukātu dzīves laiku uzskatīsiet par grafiku, kļūdīsities par rezerves lielumu.

Lasiet faktisko politiku no darbības stāvokļa, nevis seciniet to no skaitļa failā, jo rezerve pieder ieviešanai, nevis jūsu nodomam. Pretojieties kārdinājumam izstiept ierobežojumus līdz to maksimumam, lai apklusinātu simptomu: tunelis, kas maina atslēgas pēc grafika, uzvedas tā, kā projektēts, un ilgāks dzīves laiks tikai atliek notikumu, paturot apdraudētu atslēgu lietojamu ilgāk. Kad pati aizstāšana neizdodas, ierobežojums ir vēstnesis, nevis vaina.

Lasiet faktisko dzīves laiku no darbības stāvokļa

Uz strongSwan swanctl --list-sas izdrukā asociācijas kopsavilkumu ar tās atslēgu maiņas un dzīves laikiem, tāpēc vērtība, ko dēmons grasās piemērot, ir redzama bez minēšanas. Linux resursdatorā bez dēmona skata ip xfrm state ziņo konfigurētos mīkstos un cietos baitu un pakešu ierobežojumus līdzās pašreizējiem skaitītājiem. Šie divi nolasījumi atbild uz dažādiem jautājumiem, un abus ir vērts paturēt biļetē.

swanctl --list-sas
ip -s xfrm state

Salīdziniet izdrukāto mīksto slieksni ar izmērīto intervālu, jo aizstāšana, kas sākas ar rezervi zem cietā ierobežojuma, ir normāla, un tāda, kas nekad nesākas, nav. Ja dēmons rāda vienu dzīves laiku un kodola stāvoklis citu, jūs skatāties uz diviem nesaskaņotiem slāņiem, un tas pats par sevi ir atradums.

Vērojiet apmaiņu, kas aizstāj SA

Turiet trīs atjaunojumus atsevišķi, jo tie neizdodas dažādi: IKE SA atslēgu maiņa veido jaunu vadības asociāciju, CHILD SA atslēgu maiņa aizstāj datu asociāciju, un atkārtota autentifikācija atkārto identitātes apmaiņu. IKEv2 katra puse lemj par saviem dzīves laikiem, nevis vienojas par vienu kopīgu vērtību, tāpēc apmaiņa, ko jūs neesat sācis, ir parasta. perfect forward secrecy neatbilstība ir biežs iemesls, kāpēc jauna child SA iet bojā tieši atslēgu maiņas intervālā, un tā izskatās tieši kā taimera kļūme, līdz kāds izlasa priekšlikumu.

Salīdziniet veco asociāciju ar tās pēcteci un ar apmaiņu, kas to radīja. Identifikatora pazušana ir parasta aizstāšana; noraidīts priekšlikums, trūkstoša atbilde vai lietojama pēcteča stāvokļa neesamība ir cits notikums ar citu īpašnieku. Saglabājiet šos pierādījumus pirms kaut ko mainīt, jo versijai raksturīgās piezīmes, partnera priekšlikums un saskaņotie dzīves laiki ir tas, kas lietu padara lasāmu pēc nedēļas, kad žurnāli jau ir apritējuši.

Pierādiet atjaunošanu, nevis slēpiet to

Pieņemiet ieviešanu, izejot caur atjaunošanu, ko esat plānojis, nevis tādu, kas jums vienkārši notiek. Piespiediet vienu atslēgu maiņu apkopes logā, pēc tam apstipriniet, ka abi virzieni pēc tam pārvadā datus un lietojumprogrammas rezultāts nav mainījies, nevis tikai tas, ka tuneļa indikators ir zaļš. Pierakstiet, kurš ierobežojums iedarbojās un kura apmaiņa bija iesaistīta.

Šādas formas secinājums iztur pārbaudi, bet mainīta taimera vērtība, kas lika savienojumam izskatīties mierīgam visu pēcpusdienu, neiztur. Ja pārvietojās tikai taimeris, pierādījumi pārvietojās kopā ar to.