IPsec туннелийн интерфейсийг хянах: юу унших вэ

Маршрутад суурилсан IPsec загвар нь виртуал интерфейс суулгадаг бөгөөд энэ интерфейс хяналтад тодорхой объект өгдөг: нэр, тоолуур, түүнд холбогдсон маршрут бүхий зүйл. Энэ нь дангаараа эрүүл мэндийн дохио биш юм. Интерфейс нь ашиглах боломжтой ямар ч холбоос суулгаагүй үед оршиж болох бөгөөд холбоос нь эрүүл байж болох ч ямар ч маршрут сонирхолтой урсгалыг түүн рүү илгээхгүй байж болно. Дөрвөн төлвийг хамт унших нь багцын тоолуурыг оношлогоо болгох зүйл юм.

Тэдгээрийг дарааллаар нь үзэж, эхний бүтэлгүйтсэн дээр зогсо.

Интерфейс зурагт юу нэмдэг

Бодлогод суурилсан загварт сонголт нь IPsec бодлогын хүснэгтэд амьдардаг бөгөөд цөм нь урсгалын сонгогчдод үндэслэн юуг хамгаалахыг шийддэг. Маршрутад суурилсан загвар нь интерфейс болон маршрут нэмдэг тул tcpdump болон интерфейсийн тоолуурууд сонгогчдын олонлогийн оронд нэг хил хардаг. Энэ нь оношлогоо болон дээгүүр нь peering хийх интерфейс шаардлагатай маршрутжуулалтын протоколуудад бодит ашиг юм.

Ашиг нь захиргааны шинжтэй, криптографын биш. Интерфейс өөрөө зөөж буй урсгалын талаар мэдээлдэг бөгөөд хамтрагчийн хамгаалалт одоо ашиглах боломжтой эсэхийг огт хэлдэггүй.

Туннелийг буруутгахаасаа өмнө дөрвөн төлвийг унш

Интерфейс болон маршрутаас эхэл, дараа нь холбоос, дараа нь програмаас. Тус бүр өөрийн команд, өөрийн эвдрэлийн шинжтэй. Нэг давхарга дээрх цэвэр үр дүн нь дараагийн давхарга дээрх цэвэр үр дүн биш. Дүгнэлт хийхээс өмнө дөрвийг нь ажиллуул. Нэг ногоон мөр ховорхон юуг ч шийддэг.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Тоолуур нь өсөж байгаа ч тохирох төлвийн бичлэггүй интерфейс нь юу ч хамгаалаагүй замд орж буй урсгалыг дүрсэлдэг бөгөөд энэ нь зүгээр л унтарсан туннелээс дор юм. Интерфейсийг сонгох маршрутгүй төлвийн бичлэг нь криптограф бэлэн боловч ашиглагдаагүй гэсэн үг.

Програмын шалгалт нь зориуд хамгийн сүүлд ирдэг: туннелийн нөгөө тал руу амжилттай ping хийсэн нь ард байгаа үйлчилгээ холболт хүлээн авдаг гэдгийг нотлохгүй.

Дотоод тоолуурыг гадаад тоолууртай харьцуул

Туннелийн интерфейс дээрх тоолуурууд дотоод урсгалыг хэмждэг; физик интерфейс дээрх тоолуур, бичлэгүүд нь инкапсуллагдсан солилцоог харуулдаг. Энэ хоёр нэг нэгээрээ таарахгүй, учир нь инкапсуляци толгой нэмдэг, дахин дамжуулалт зарим багцыг давхардуулдаг, хэрэгжүүлэлтийн бүртгэл өөрийн дүрмийг дагадаг. Тэгш байдал биш, харьцааг хүлээ.

Бичлэгийн байршил нь ямар хувийн өгөгдөл цуглуулахаа ч тодорхойлдог тул үйлдвэрлэлийн урсгалыг бүрэн бичихийн оронд нарийн шүүлтүүр, хор хөнөөлгүй туршилтын хаяг ашигла.

Дотоод тоолуур өсөж, гадаад нь өсөхгүй бол дутуу алхам нь ихэвчлэн багцыг туннель руу илгээдэг маршрут эсвэл бодлого байдаг, туннель өөрөө биш.

Түлхүүр шинэчлэлт, шилжилтийн үеэр ажигла

Мөн дөрвөн төлвийг ажиглаж байхдаа түлхүүр шинэчлэлт, үхсэн хамтрагчийг илрүүлэх үйл явдал, холбоосын нөөц шилжилтийг ажигла. Интерфейс хэзээ ч дуусахгүй түлхүүр шинэчлэлтийн үеэр оршиж болох бөгөөд шилжилт нь төлвийн бичлэгийг цаашид хүрэхгүй хамтрагчийн хаяг руу чиглүүлэн үлдээж болно.

Чи үнэхээр хамааралтай үйлчилгээний зам дээр, холбоосын төлвийг контекст болгон ашиглан дохиолол өг, ганц дээш эсвэл доош туг дээр биш. Интерфейсийн нэр, хамтрагчийн хаяг, маршрутыг дохиололын ачаалалд хадгал, ингэснээр хариу үйлдэл үзүүлэгч тэдгээрийг дахин бүтээх шаардлагагүй.

strongSwan өөрийн XFRM интерфейсийн загварыг баримтжуулдаг бөгөөд бусад платформууд ижил утгатай объектыг өөрөөр нэрлэж, хэрэгжүүлдэг. Өөр хэрэгжүүлэлтээс таамаглалыг шилжүүлэхийн өмнө урд байгаа төхөөрөмжийн маршрутад суурилсан харьцуулалтыг унш. Нэг үйлдвэрлэгчийн тоолуурт тохирсон хяналтын загвар нөгөөд нь чимээгүйхэн төөрөгдүүлнэ.