തിരക്കുള്ള IPsec ടണൽ നേരത്തെ കീ മാറ്റുന്നത് എന്തുകൊണ്ട്: സമയവും വോളിയം പരിധികളും

ഏകദേശം അമ്പത് മിനിറ്റിലൊരിക്കൽ തിരക്കുള്ള ലിങ്കിലെ ടണൽ കുറച്ച് സെക്കൻഡുകൾ വീഴുന്നു, ആദ്യ സംശയം ക്ലോക്കാണ്. അസോസിയേഷനുകൾ സമയപരിധിയിലോ ബൈറ്റ് എണ്ണത്തിലോ അവസാനിക്കാം, ഏത് അതിർത്തി ആദ്യം വരുന്നുവോ അതാണ് അവയെ വിരമിക്കുന്നത്. യഥാർത്ഥ ട്രാഫിക് വഹിക്കുന്ന ലിങ്കിൽ, ക്രമീകരിച്ച മണിക്കൂർ തീരുന്നതിന് വളരെ മുൻപേ വോളിയം പരിധി സജീവമാകാം. അതിനാൽ «വളരെ നേരത്തെ» എന്നത് ക്ലോക്കിനെക്കുറിച്ചുള്ള പ്രസ്താവനയാണ്, അസോസിയേഷനെക്കുറിച്ചല്ല.

ഇന്റർഫേസല്ല, അസോസിയേഷൻ എണ്ണുന്നത് എണ്ണുക

ഇന്റർഫേസിന്റെ മൊത്തം ബൈറ്റ്, ഡാഷ്ബോർഡിന്റെ സംയുക്ത ത്രൂപുട്ട്, അസോസിയേഷന്റെ സ്വന്തം കൗണ്ടർ എന്നിവ മൂന്ന് വേറിട്ട സംഖ്യകളാണ്, അവയിൽ ഒന്നിനെ മാത്രമാണ് പരിധിയുമായി താരതമ്യം ചെയ്യുന്നത്. വരുന്നതും പോകുന്നതുമായ അസോസിയേഷനുകൾ അവയുടെ ഐഡന്റിഫയറുകളോടെ വെവ്വേറെ രേഖപ്പെടുത്തുക, അപ്പോൾ ഒരു ദിശയെ സ്പർശിക്കുന്ന കീ മാറ്റം ഒരു നിഗൂഢതയല്ല, ദിശാബോധമുള്ള സംഭവമായി പ്രത്യക്ഷപ്പെടും. അസോസിയേഷന്റെ കൗണ്ടറും കീ മാറ്റത്തിൽ വീണ്ടും തുടങ്ങുന്നു, അതിനാൽ ഇന്റർഫേസിൽ നിന്ന് എടുത്ത മൊത്തം കൂടുന്നു, പ്രധാനപ്പെട്ട മൂല്യം പുനഃസജ്ജീകരിക്കപ്പെടുമ്പോൾ.

കണക്ക് ഒരിക്കൽ ചെയ്യുന്നത് മൂല്യമുള്ളതാണ്, അപ്പോൾ പരിമാണത്തിന്റെ ക്രമം ഏകപക്ഷീയമായി തോന്നുന്നത് നിലയ്ക്കും. മിനിറ്റിൽ സ്ഥിരമായ 128 മെബിബൈറ്റ് നിരക്കിൽ ചെലവഴിക്കപ്പെടുന്ന ഒരു ഗിബിബൈറ്റ് എണ്ണിയ ബജറ്റ് എട്ട് മിനിറ്റിൽ തീരുന്നു, അത് യൂണിറ്റ് പരിവർത്തനമാണ്, നിങ്ങളുടെ ടണലിന്റെ അളവല്ല. ഫലമായ സംഖ്യ സമയപരിധിയേക്കാൾ വളരെ താഴെയാണെങ്കിൽ, വോളിയമാണ് സംവിധാനം, ക്ലോക്ക് നോക്കുന്നത് ഇടവേള വിശദീകരിക്കില്ല. അത് വളരെ മുകളിലാണെങ്കിൽ, ബൈറ്റ് പരിധി നിങ്ങളുടെ ട്രിഗറല്ല, അന്വേഷണം മറ്റൊരിടത്താണ്.

മൃദു, കട്ടി പരിധികൾ രണ്ട് വ്യത്യസ്ത സംഭവങ്ങളാണ്

കട്ടിയുള്ള പരിധി അസോസിയേഷൻ അവസാനിപ്പിക്കുന്നതിന് വളരെ മുൻപേ മൃദു പരിധി പകരം ആവശ്യപ്പെടുന്നു, നടപ്പാക്കലുകൾ നിങ്ങൾ ക്രമീകരിച്ചതിന് മുകളിൽ സ്വന്തം മാർജിനും റാൻഡമൈസേഷനും ചേർക്കുന്നു. അതിനാൽ നിരീക്ഷിച്ച ഇടവേള മിക്കവാറും ഒരിക്കലും വൃത്തസംഖ്യയല്ല. IPsec വാസ്തുവിദ്യ സമയത്തിലും ബൈറ്റ് എണ്ണത്തിലും പ്രകടിപ്പിക്കുന്ന ആയുസ്സുകൾ രണ്ട് തരം പരിധികളോടെ വിവരിക്കുന്നു, കൂടാതെ നേരത്തെയുള്ള കാലഹരണമാണ് ബാധകം. ഒരു അച്ചടിച്ച ആയുസ്സിനെ ഷെഡ്യൂളായി കണക്കാക്കിയാൽ മാർജിന്റെ അളവിൽ തെറ്റും.

ഫയലിലെ സംഖ്യയിൽ നിന്ന് അനുമാനിക്കുന്നതിനുപകരം പ്രവർത്തിക്കുന്ന അവസ്ഥയിൽ നിന്ന് ഫലപ്രദമായ നയം വായിക്കുക, കാരണം മാർജിൻ നടപ്പാക്കലിന്റേതാണ്, നിങ്ങളുടെ ഉദ്ദേശ്യത്തിന്റേതല്ല. ലക്ഷണം ശാന്തമാക്കാൻ പരിധികൾ അവയുടെ പരമാവധിയിലേക്ക് നീട്ടാനുള്ള പ്രലോഭനത്തെ എതിർക്കുക: ഷെഡ്യൂൾ പ്രകാരം കീ മാറ്റുന്ന ടണൽ രൂപകൽപ്പന ചെയ്തതുപോലെ പ്രവർത്തിക്കുന്നു, നീണ്ട ആയുസ്സ് സംഭവം നീട്ടിവയ്ക്കുക മാത്രം ചെയ്യുകയും വിട്ടുവീഴ്ച ചെയ്ത കീ കൂടുതൽ കാലം ഉപയോഗയോഗ്യമാക്കി നിർത്തുകയും ചെയ്യുന്നു. പകരം വയ്ക്കൽ തന്നെ പരാജയപ്പെടുമ്പോൾ, പരിധി ദൂതനാണ്, കുറ്റമല്ല.

പ്രവർത്തിക്കുന്ന അവസ്ഥയിൽ നിന്ന് ഫലപ്രദമായ ആയുസ്സ് വായിക്കുക

strongSwan ൽ, swanctl --list-sas അസോസിയേഷന്റെ സംഗ്രഹം അതിന്റെ കീ-മാറ്റ, ആയുസ്സ് സമയങ്ങളോടെ അച്ചടിക്കുന്നു, അതിനാൽ ഡീമൺ അടിച്ചേൽപ്പിക്കാൻ ഉദ്ദേശിക്കുന്ന മൂല്യം ഊഹിക്കാതെ കാണാം. ഡീമൺ കാഴ്ചയില്ലാത്ത Linux ഹോസ്റ്റിൽ, ip xfrm state ക്രമീകരിച്ച മൃദു, കട്ടി ബൈറ്റ്, പാക്കറ്റ് പരിധികൾ നിലവിലെ കൗണ്ടറുകൾക്കൊപ്പം റിപ്പോർട്ട് ചെയ്യുന്നു. ആ രണ്ട് വായനകൾ വ്യത്യസ്ത ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകുന്നു, രണ്ടും ടിക്കറ്റിൽ സൂക്ഷിക്കാൻ യോഗ്യമാണ്.

swanctl --list-sas
ip -s xfrm state

അച്ചടിച്ച മൃദു പരിധിയെ നിങ്ങൾ അളന്ന ഇടവേളയുമായി താരതമ്യം ചെയ്യുക, കാരണം കട്ടി പരിധിക്ക് താഴെയുള്ള മാർജിനിൽ തുടങ്ങുന്ന പകരം വയ്ക്കൽ സാധാരണമാണ്, ഒരിക്കലും തുടങ്ങാത്തത് അല്ല. ഡീമൺ ഒരു ആയുസ്സും കേണൽ അവസ്ഥ മറ്റൊന്നും കാണിക്കുന്നെങ്കിൽ, യോജിക്കാത്ത രണ്ട് പാളികളെ നിങ്ങൾ നോക്കുന്നു, അത് തന്നെയാണ് കണ്ടെത്തൽ.

SA മാറ്റിസ്ഥാപിക്കുന്ന കൈമാറ്റം നിരീക്ഷിക്കുക

മൂന്ന് പുതുക്കലുകൾ വേർതിരിച്ച് സൂക്ഷിക്കുക, കാരണം അവ വ്യത്യസ്ത രീതിയിൽ പരാജയപ്പെടുന്നു: IKE SA കീ മാറ്റം പുതിയ നിയന്ത്രണ അസോസിയേഷൻ നിർമ്മിക്കുന്നു, CHILD SA കീ മാറ്റം ഡാറ്റ അസോസിയേഷൻ മാറ്റിസ്ഥാപിക്കുന്നു, വീണ്ടും ആധികാരികത ഉറപ്പാക്കൽ ഐഡന്റിറ്റി കൈമാറ്റം ആവർത്തിക്കുന്നു. IKEv2 ൽ ഓരോ പിയറും ഒരു പങ്കിട്ട മൂല്യം ചർച്ച ചെയ്യുന്നതിനുപകരം സ്വന്തം ആയുസ്സുകൾ തീരുമാനിക്കുന്നു, അതിനാൽ നിങ്ങൾ ആരംഭിക്കാത്ത കൈമാറ്റം സാധാരണമാണ്. perfect forward secrecy പൊരുത്തക്കേട് പുതിയ child SA കീ-മാറ്റ ഇടവേളയിൽ കൃത്യമായി ചാകാനുള്ള പതിവ് കാരണമാണ്, ആരെങ്കിലും നിർദ്ദേശം വായിക്കുന്നതുവരെ അത് കൃത്യമായി ടൈമർ തകരാറുപോലെ തോന്നുന്നു.

പഴയ അസോസിയേഷനെ അതിന്റെ പിൻഗാമിയുമായും അതിനെ സൃഷ്ടിച്ച കൈമാറ്റവുമായും താരതമ്യം ചെയ്യുക. ഐഡന്റിഫയർ അപ്രത്യക്ഷമാകുന്നത് സാധാരണ പകരം വയ്ക്കലാണ്; നിരസിക്കപ്പെട്ട നിർദ്ദേശം, കാണാത്ത പ്രതികരണം, ഉപയോഗയോഗ്യമായ പിൻഗാമി അവസ്ഥയുടെ അഭാവം എന്നിവ വേറെ ഉടമയുള്ള വേറെ സംഭവമാണ്. എന്തെങ്കിലും മാറ്റുന്നതിന് മുൻപ് ആ തെളിവ് സൂക്ഷിക്കുക, കാരണം പതിപ്പ്-നിർദ്ദിഷ്ട കുറിപ്പുകളും പിയറിന്റെ നിർദ്ദേശവും ചർച്ച ചെയ്ത ആയുസ്സുകളുമാണ് ലോഗുകൾ തിരിഞ്ഞതിന് ശേഷം ഒരു ആഴ്ച കഴിഞ്ഞും കേസ് വായിക്കാനാകുന്നതാക്കുന്നത്.

മറയ്ക്കുന്നതിനുപകരം പുതുക്കൽ തെളിയിക്കുക

നിങ്ങൾക്ക് സംഭവിക്കുന്ന പുതുക്കലിനുപകരം നിങ്ങൾ ആസൂത്രണം ചെയ്ത പുതുക്കലിലൂടെ കടന്ന് വിന്യാസം സ്വീകരിക്കുക. അറ്റകുറ്റപ്പണി വിൻഡോയ്ക്കുള്ളിൽ ഒരു കീ മാറ്റം നിർബന്ധിക്കുക, തുടർന്ന് രണ്ട് ദിശകളും പിന്നീട് ഡാറ്റ വഹിക്കുന്നുവെന്നും ആപ്ലിക്കേഷൻ ഫലം മാറിയിട്ടില്ലെന്നും സ്ഥിരീകരിക്കുക, ടണൽ സൂചകം പച്ചയാണ് എന്ന് മാത്രമല്ല. ഏത് പരിധി സജീവമായി, ഏത് കൈമാറ്റം ഉൾപ്പെട്ടു എന്ന് രേഖപ്പെടുത്തുക.

ആ രൂപത്തിലുള്ള നിഗമനം പരിശോധനയെ അതിജീവിക്കുന്നു, എന്നാൽ ബന്ധം ഒരു ഉച്ചയ്ക്ക് ശാന്തമായി കാണിച്ച മാറ്റിയ ടൈമർ മൂല്യം അതിജീവിക്കുന്നില്ല. ടൈമർ മാത്രം നീങ്ങിയെങ്കിൽ, തെളിവും അതിനൊപ്പം നീങ്ങി.