Завгүй IPsec туннель яагаад эрт түлхүүр сольдог вэ: цаг ба эзлэхүүний хязгаар

Ойролцоогоор тавь минут тутамд завгүй холбоос дээрх туннель хэдэн секунд унаж, эхний сэжигтэн нь цаг юм. Холбоонууд цагийн хязгаар эсвэл байтын тоогоор дуусч болох бөгөөд аль хязгаар нь түрүүлж ирвэл тэр нь тэднийг тэтгэвэрт гаргадаг. Бодит урсгал зөөдөг холбоос дээр эзлэхүүний хязгаар тохируулсан цаг дуусахаас хамаагүй өмнө ажиллаж болно. Тиймээс «хэт эрт» гэдэг нь цагийн тухай мэдэгдэл, холбооны тухай биш.

Интерфэйс биш, холбоо юу тоолдогийг тоол

Интерфэйсийн байтын нийлбэр, хяналтын самбарын нэгдсэн дамжуулалт, холбооны өөрийн тоолуур нь гурван тусдаа тоо бөгөөд тэдгээрийн зөвхөн нэгийг нь хязгаартай харьцуулдаг. Орох болон гарах холбоог танигчуудын хамт тус тусад нь бүртгэ, ингэснээр нэг чиглэлд хүрэх түлхүүрийн солилцоо нь нууц биш, чиглэлийн үйл явдал болж харагдана. Холбооны тоолуур мөн түлхүүр солих үед дахин эхэлдэг, тиймээс интерфэйсээс авсан нийлбэр өсөхөд чухал утга нь тэглэгддэг.

Тооцоог нэг удаа хийх нь зүйтэй, тэгвэл хэмжээний эрэмбэ дур зоргоороо санагдахаа болино. Минутад тогтмол 128 мебибайтаар зарцуулагддаг нэг гибибайтын тооцоолсон төсөв найман минутад дуусдаг бөгөөд энэ нь нэгжийн хөрвүүлэлт, таны туннелийн хэмжилт биш. Хэрэв үр дүнгийн тоо цагийн хязгаараас хамаагүй доогуур байвал эзлэхүүн нь механизм бөгөөд цаг харах нь завсарыг тайлбарлахгүй. Хэрэв энэ нь хамаагүй дээгүүр байвал байтын хязгаар таны гох биш бөгөөд хайлт өөр газар хамаарна.

Зөөлөн ба хатуу босго нь хоёр өөр үйл явдал

Зөөлөн босго нь хатуу хязгаар холбоог дуусгахаас хамаагүй өмнө орлуулалт гуйдаг ба хэрэгжүүлэлтүүд таны тохируулсан зүйлийн дээр өөрсдийн зай болон санамсаргүйжүүлэлтийг нэмдэг. Тиймээс ажиглагдсан завсар бараг хэзээ ч бүхэл тоо байдаггүй. IPsec архитектур нь цаг болон байтын тоогоор илэрхийлсэн наслалтыг хоёр төрлийн босготой тайлбарладаг бөгөөд эрт дуусах нь давамгайлна. Нэг хэвлэсэн наслалтыг хуваарь гэж үзвэл зайны хэмжээгээр алдана.

Үр дүнтэй бодлогыг файл дахь тооноос таамаглахын оронд ажиллаж буй төлвөөс унш, учир нь зай нь хэрэгжүүлэлтэд хамаарах бөгөөд таны санаархалд биш. Шинж тэмдгийг намжаахын тулд хязгаарыг дээд хэмжээ рүү нь сунгах уруу таталтад эсэргүүц: хуваарийн дагуу түлхүүр сольдог туннель нь зохион бүтээсэн ёсоор ажилладаг бөгөөд урт наслалт нь үйл явдлыг хойшлуулаад зогсохгүй эвдэрсэн түлхүүрийг илүү удаан ашиглагдахуйц байлгадаг. Орлуулалт өөрөө бүтэлгүйтэхэд хязгаар нь элч, буруу биш.

Үр дүнтэй наслалтыг ажиллаж буй төлвөөс унш

strongSwan дээр swanctl --list-sas холбооны хураангуйг түлхүүр солих болон наслалтын цагуудын хамт хэвлэдэг тул демон хэрэгжүүлэх гэж буй утга таамаглалгүйгээр харагдана. Демоны харагдацгүй Linux хост дээр ip xfrm state тохируулсан зөөлөн ба хатуу байт болон пакетын хязгаарыг одоогийн тоолууруудын дэргэд мэдээлдэг. Энэ хоёр уншилт өөр асуултад хариулдаг бөгөөд хоёуланг нь тасалбарт үлдээх нь зүйтэй.

swanctl --list-sas
ip -s xfrm state

Хэвлэсэн зөөлөн босгыг таны хэмжсэн завсартай харьцуул, учир нь хатуу хязгаараас доогуур зайтай эхэлдэг орлуулалт хэвийн, хэзээ ч эхэлдэггүй нь тийм биш. Хэрэв демон нэг наслалт, цөмийн төлөв өөр нэг наслалт харуулж байвал та зөрчилдөж буй хоёр давхаргыг харж байна, энэ нь өөрөө олдвор юм.

SA-г орлуулах солилцоог ажигла

гурван шинэчлэл-г тусад нь барь, учир нь тэд өөр өөрөөр бүтэлгүйтдэг: IKE SA түлхүүр солих нь шинэ удирдлагын холбоо байгуулна, CHILD SA түлхүүр солих нь өгөгдлийн холбоог орлуулна, дахин баталгаажуулалт нь таних солилцоог давтана. IKEv2-д тал бүр нэг нийтлэг утгын талаар хэлэлцэхийн оронд өөрийн наслалтыг шийддэг тул таны эхлүүлээгүй солилцоо нь хэвийн. perfect forward secrecy-н зөрүү нь шинэ child SA яг түлхүүр солих завсарт үхэх байнгын шалтгаан бөгөөд хэн нэгэн саналыг унших хүртэл яг таймерын гэмтэл мэт харагдана.

Хуучин холбоог түүний залгамжлагч болон түүнийг үүсгэсэн солилцоотой харьцуул. Танигч алга болох нь энгийн орлуулалт; татгалзсан санал, байхгүй хариу эсвэл ашиглагдахуйц залгамжлагч төлөв байхгүй байх нь өөр эзэнтэй өөр үйл явдал. Ямар нэгэн зүйл өөрчлөхөөс өмнө тэр нотолгоог хадгал, учир нь хувилбарт хамаарах тэмдэглэл, талын санал, тохиролцсон наслалтууд нь лог эргэсний дараа долоо хоногийн дараа хэргийг уншигдахуйц болгодог.

Нуухын оронд шинэчлэлтийг батал

Байршуулалтыг танд тохиолддог шинэчлэл биш, таны төлөвлөсөн шинэчлэлээр дамжин хүлээн ав. Засварын цонхны дотор нэг түлхүүр солилтыг албад, дараа нь хоёр чиглэл хоёулаа дараа нь өгөгдөл зөөж байгаа болон програмын үр дүн өөрчлөгдөөгүй гэдгийг батал, туннелийн үзүүлэлт ногоон байгаа нь ганц биш. Аль хязгаар ажиллаж, аль солилцоо оролцсоныг бүртгэ.

Ийм хэлбэрийн дүгнэлт шалгалтыг даадаг боловч холболтыг нэг үдээс хойш тайван харагдуулсан өөрчилсөн таймерын утга даахгүй. Зөвхөн таймер хөдөлсөн бол нотолгоо ч хамт хөдөлсөн.