IPsec tuneļa saskarnes uzraudzība: ko lasīt

Uz maršrutiem balstīts IPsec dizains instalē virtuālu saskarni, un šī saskarne uzraudzībai dod konkrētu objektu: kaut ko ar nosaukumu, skaitītājiem un tam piesaistītu maršrutu. Tā pati par sevi nav veselības signāls. Saskarne var pastāvēt, kamēr nav instalēta neviena izmantojama asociācija, un asociācija var būt vesela, kamēr neviens maršruts tai nesūta interesanto satiksmi. Tieši četru stāvokļu lasīšana kopā pārvērš pakešu skaitītāju diagnozē.

Izejiet tās pēc kārtas un apstājieties pie pirmās, kas neizdodas.

Ko saskarne pievieno ainai

Uz politikām balstītā dizainā atlase dzīvo IPsec politiku tabulā, un kodols izlemj, kas tiek aizsargāts, pamatojoties uz satiksmes selektoriem. Uz maršrutiem balstīts dizains pievieno saskarni un maršrutu, tāpēc tcpdump un saskarnes skaitītāji redz vienu robežu, nevis selektoru kopu. Tas ir reāls ieguvums diagnostikai un maršrutēšanas protokoliem, kuriem vajadzīga saskarne peering savienojumam.

Ieguvums ir administratīvs, nevis kriptogrāfisks. Saskarne ziņo par satiksmi, ko pārvadā, un neko nesaka par to, vai partnera aizsardzība šobrīd ir izmantojama.

Izlasiet četrus stāvokļus, pirms vainojat tuneli

Sāciet ar saskarni un maršrutu, tad ar asociāciju, tad ar lietojumprogrammu. Katrai ir sava komanda un sava kļūmes pazīme. Tīrs rezultāts vienā slānī nav tīrs rezultāts nākamajā. Izpildiet visus četrus, pirms izdarāt secinājumu. Viena zaļa rinda reti ko izšķir.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Saskarne ar augošu skaitītāju, bet bez atbilstoša stāvokļa ieraksta, apraksta satiksmi, kas ieiet ceļā, kur nekas to neaizsargā, un tas ir sliktāk nekā tunelis, kas vienkārši ir krities. Stāvokļa ieraksts bez maršruta, kas izvēlas saskarni, nozīmē, ka kriptogrāfija ir gatava un neizmantota.

Lietojumprogrammas tests nāk pēdējais un apzināti: veiksmīgs ping uz tuneļa otru pusi nepierāda, ka pakalpojums aiz tā pieņem savienojumus.

Salīdziniet iekšējos skaitītājus ar ārējiem

Skaitītāji uz tuneļa saskarnes mēra iekšējo satiksmi; skaitītāji un ieraksti uz fiziskās saskarnes rāda iekapsulēto apmaiņu. Šie divi nesakritīs viens pret vienu, jo iekapsulēšana pievieno galvenes, atkārtotas pārraides dublē dažas paketes, un ieviešanas uzskaite seko saviem noteikumiem. Gaidiet attiecību, nevis vienādību.

Ieraksta vieta arī nosaka, kādus privātos datus jūs vācat, tāpēc izmantojiet šaurus filtrus un nekaitīgu testa adresi, nevis pilnu ražošanas satiksmes ierakstu.

Ja iekšējie skaitītāji aug un ārējie ne, trūkstošais solis parasti ir maršruts vai politika, kas sūta paketes tunelī, nevis pats tunelis.

Novērojiet to atslēgu atjaunošanas un pārslēgšanās laikā

Novērojiet atslēgu atjaunošanu, mirušā partnera noteikšanas notikumu un saites pārslēgšanos, vienlaikus sekojot tiem pašiem četriem stāvokļiem. Saskarne var palikt, notiekot atslēgu atjaunošanai, kas nekad nebeidzas, un pārslēgšanās var atstāt stāvokļa ierakstu, kas norāda uz partnera adresi, kura vairs nav sasniedzama.

Signalizējiet par pakalpojuma ceļu, no kura jūs patiešām esat atkarīgs, ar asociācijas stāvokli kā kontekstu, nevis par vienu „augšup“ vai „lejup“ karodziņu. Saglabājiet saskarnes nosaukumu, partnera adresi un maršrutu trauksmes lietderīgajā slodzē, lai reaģētājam tie nav jāatjauno.

strongSwan dokumentē savu XFRM saskarnes modeli, un citas platformas līdzvērtīgo objektu nosauc un ievieš citādi. Izlasiet uz maršrutiem balstīto salīdzinājumu ierīcei jūsu priekšā, pirms pārnesat pieņēmumus no citas ieviešanas. Uzraudzības veidne, kas atbilst viena piegādātāja skaitītājiem, citā klusi maldinās.