Следење на интерфејс на IPsec тунел: што да се чита

Дизајнот на IPsec заснован на рути инсталира виртуелен интерфејс, и тој интерфејс му дава на следењето конкретен објект: нешто со име, бројачи и рута прикачена на него. Тоа само по себе не е сигнал за здравје. Интерфејсот може да постои додека не е инсталирана ниту една употреблива асоцијација, а асоцијацијата може да биде здрава додека ниту една рута не ѝ го испраќа интересниот сообраќај. Токму заедничкото читање на четири состојби го претвора бројачот на пакети во дијагноза.

Поминете ги по ред и застанете на првата што не поминува.

Што додава интерфејсот на сликата

Во дизајн заснован на политики, изборот живее во табелата со IPsec политики и јадрото одлучува што се штити врз основа на селекторите на сообраќај. Дизајнот заснован на рути додава интерфејс и рута, така што tcpdump и бројачите на интерфејсот гледаат една граница наместо множество селектори. Тоа е вистинска добивка за дијагностиката и за протоколите за рутирање на кои им треба интерфејс за пееринг.

Добивката е административна, не криптографска. Интерфејсот известува за сообраќајот што го носи и не кажува ништо за тоа дали заштитата од страна на партнерот е моментално употреблива.

Прочитајте ги четирите состојби пред да го обвините тунелот

Започнете со интерфејсот и рутата, потоа со асоцијацијата, потоа со апликацијата. Секоја има своја команда и свој потпис на отказ. Чист резултат на едно ниво не е чист резултат на следното. Извршете ги сите четири пред да донесете заклучок. Една зелена линија ретко решава нешто.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Интерфејс со бројач што расте, но без соодветен запис за состојба, опишува сообраќај што влегува на пат каде ништо не го штити, а тоа е полошо од тунел што едноставно паднал. Запис за состојба без рута што го избира интерфејсот значи дека криптографијата е подготвена и неискористена.

Тестот на апликацијата доаѓа последен и намерно: успешен ping кон спротивната страна на тунелот не докажува дека услугата зад него прифаќа врски.

Споредете ги внатрешните бројачи со надворешните

Бројачите на интерфејсот на тунелот го мерат внатрешниот сообраќај; бројачите и снимките на физичкиот интерфејс ја покажуваат инкапсулираната размена. Двете нема да се совпаднат едно на едно, бидејќи инкапсулацијата додава заглавија, повторните испраќања дуплираат некои пакети, а пресметката на имплементацијата следи сопствени правила. Очекувајте сооднос, не еднаквост.

Местото на снимањето исто така одредува кои приватни податоци ги собирате, затоа користете тесни филтри и безопасна тест адреса наместо целосно снимање на продукцискиот сообраќај.

Ако внатрешните бројачи растат, а надворешните не, чекорот што недостасува обично е рутата или политиката што ги испраќа пакетите во тунелот, а не самиот тунел.

Набљудувајте го низ обнова на клучеви и префрлање

Набљудувајте обнова на клучеви, настан за откривање на мртов партнер и префрлање на врска додека ги следите истите четири состојби. Интерфејсот може да остане присутен за време на обнова на клучеви што никогаш не завршува, а префрлањето може да остави запис за состојба што покажува на адреса на партнер што повеќе не е достапна.

Алармирајте на услужната патека од која навистина зависите, со состојбата на асоцијацијата како контекст, а не на еден статус горе или долу. Задржете го името на интерфејсот, адресата на партнерот и рутата во товарот на алармот, за да не мора да ги реконструира тој што реагира.

strongSwan го документира сопствениот модел на XFRM интерфејс, а другите платформи поинаку го именуваат и имплементираат еквивалентниот објект. Прочитајте го споредувањето засновано на рути за уредот пред вас пред да пренесете претпоставки од друга имплементација. Шаблон за следење што одговара на бројачите на еден добавувач тивко ќе доведе во заблуда кај друг.