Зошто зафатен IPsec тунел рано ги менува клучевите: временски и волуменски граници

Приближно на секои педесет минути тунел на зафатена врска паѓа неколку секунди, а првиот сомнителен е часовникот. Асоцијациите можат да завршат на временска граница или на број на бајти, и која граница дојде прва, таа ги пензионира. На врска што носи вистински сообраќај, волуменската граница може да се активира многу пред конфигурираниот час да истече. Значи „премногу рано“ е изјава за часовникот, не за асоцијацијата.

Бројте го она што го брои асоцијацијата, не интерфејсот

Вкупниот број бајти на интерфејсот, комбинираниот проток на контролната табла и сопствениот бројач на асоцијацијата се три одделни броја, и само еден од нив се споредува со границата. Запишете ја влезната и излезната асоцијација одделно со нивните идентификатори, за да се појави промената на клучеви што допира еден правец како насочен настан, а не како загатка. Бројачот на асоцијацијата исто така почнува одново при промена на клучеви, затоа вкупниот износ земен од интерфејсот расте, додека вредноста што е важна се ресетира.

Пресметката вреди да се направи еднаш, за да престане редот на големината да изгледа произволен. Пресметан буџет од еден гибибајт што се троши со постојани 128 мебибајти во минута се исцрпува за осум минути, и тоа е претворање единици, не мерење на вашиот тунел. Ако добиениот број стои далеку под временската граница, волуменот е механизмот и никакво гледање во часовникот нема да го објасни интервалот. Ако стои далеку над неа, границата на бајти не е вашиот предизвикувач и пребарувањето припаѓа на друго место.

Мекиот и цврстиот праг се два различни настана

Мекиот праг бара замена многу пред цврстата граница да ја заврши асоцијацијата, а имплементациите додаваат свои маржи и случајност врз она што сте го конфигурирале. Затоа набљудуваниот интервал скоро никогаш не е тркалезен број. IPsec архитектура опишува животни векови изразени во време и број на бајти со двата вида прагови, и владее поранешното истекување. Ако третирате еден испечатен животен век како распоред, ќе згрешите за износот на маржата.

Читајте ја ефективната политика од работната состојба наместо да ја изведувате од број во датотека, бидејќи маржата и припаѓа на имплементацијата, не на вашата намера. Спротивставете се на искушението да ги растегнете границите до нивниот максимум за да го смирите симптомот: тунелот што менува клучеви по распоред се однесува како што е проектиран, а подолгиот животен век само го одложува настанот држејќи компромитиран клуч подолго употреблив. Кога самата замена не успева, границата е гласникот, а не вината.

Читајте го ефективниот животен век од работната состојба

На strongSwan swanctl --list-sas го печати резимето на асоцијацијата со нејзините времиња на промена на клучеви и на живот, така што вредноста што демонот има намера да ја наложи е видлива без погодување. На Linux домаќин без поглед на демонот ip xfrm state ги пријавува конфигурираните меки и цврсти граници на бајти и пакети покрај тековните бројачи. Тие две читања одговараат на различни прашања и двете вреди да се задржат во тикетот.

swanctl --list-sas
ip -s xfrm state

Споредете го испечатениот мек праг со интервалот што го измеривте, бидејќи замената што почнува со маржа под цврстата граница е нормална, а онаа што никогаш не почнува не е. Ако демонот покажува еден животен век, а состојбата на јадрото друг, гледате два слоја што не се согласуваат, и тоа само по себе е наодот.

Гледајте ја размената што ја заменува SA

Држете ги трите обновувања одделно, бидејќи тие не успеваат на различни начини: промената на клучеви на IKE SA гради нова контролна асоцијација, промената на клучеви на CHILD SA ја заменува податочната асоцијација, а повторното автентицирање ја повторува размената на идентитет. Во IKEv2 секоја страна одлучува за сопствените животни векови наместо да преговара за една заедничка вредност, па размената што не сте ја започнале е вообичаена. Несовпаѓањето на perfect forward secrecy е честа причина нова child SA да умре токму на интервалот на промена на клучеви, и изгледа точно како дефект на тајмер сѐ додека некој не го прочита предлогот.

Споредете ја старата асоцијација со нејзината наследничка и со размената што ја создаде. Исчезнувањето на идентификатор е рутинска замена; одбиен предлог, отсутен одговор или немање употреблива состојба на наследник е друг настан со друг сопственик. Зачувајте ги тие докази пред да промените нешто, бидејќи белешките специфични за верзијата, предлогот на страната и преговараните животни векови се она што го прави случајот читлив една недела подоцна, откако логовите ќе се завртат.

Докажете го обновувањето наместо да го криете

Прифатете го распоредувањето поминувајќи низ обновување што сте го планирале, а не низ она што ви се случува. Присилете една промена на клучеви во рамки на прозорец за одржување, потоа потврдете дека потоа двата правци носат податоци и дека резултатот на апликацијата е непроменет, а не само дека индикаторот на тунелот е зелен. Запишете која граница се активираше и која размена беше вклучена.

Заклучок со таква форма поминува проверка, додека изменетата вредност на тајмерот што ја направи врската да изгледа тивка едно попладне не поминува. Ако се придвижи само тајмерот, доказите се придвижија со него.