व्यस्त IPsec बोगदा लवकर का की बदलतो: वेळ विरुद्ध आवाज मर्यादा

सुमारे दर पन्नास मिनिटांनी व्यस्त दुव्यावरील बोगदा काही सेकंद पडतो, आणि पहिला संशयित घड्याळ आहे। संघ वेळ मर्यादेवर किंवा बाइट मोजणीवर संपू शकतात, आणि जी मर्यादा आधी येते तीच त्यांना निवृत्त करते। प्रत्यक्ष रहदारी वाहून नेणाऱ्या दुव्यावर आवाज मर्यादा निश्चित तास संपण्याच्या खूप आधी सक्रिय होऊ शकते। म्हणून «खूप लवकर» हे घड्याळाबद्दलचे विधान आहे, संघाबद्दल नाही।

इंटरफेस नाही, संघ काय मोजतो ते मोजा

इंटरफेसचा एकूण बाइट, डॅशबोर्डचा एकत्रित थ्रूपुट आणि संघाचा स्वतःचा काउंटर या तीन वेगळ्या संख्या आहेत, आणि त्यातील फक्त एकाची मर्यादेशी तुलना होते। येणारे आणि जाणारे संघ त्यांच्या ओळखकर्त्यांसह वेगळे नोंदवा, जेणेकरून एका दिशेला स्पर्श करणारा की-बदल कोडे नाही तर दिशात्मक घटना म्हणून दिसेल। संघाचा काउंटरही की-बदलावर पुन्हा सुरू होतो, म्हणून इंटरफेसवरून घेतलेली बेरीज वाढते तर महत्त्वाचे मूल्य रीसेट होते।

गणना एकदा करण्यासारखी आहे जेणेकरून परिमाणाचा क्रम अनियंत्रित वाटणे थांबेल। मिनिटाला स्थिर 128 मेबीबाइट दराने खर्च होणाऱ्या एका गिबीबाइटचे मोजलेले अंदाजपत्रक आठ मिनिटांत संपते, आणि ते एकक रूपांतरण आहे, तुमच्या बोगद्याचे मोजमाप नाही। परिणामी संख्या वेळ मर्यादेपेक्षा खूप खाली असल्यास, आवाज हाच यंत्रणा आहे आणि घड्याळ पाहून अंतर स्पष्ट होणार नाही। ती खूप वर असल्यास, बाइट मर्यादा तुमचा ट्रिगर नाही आणि शोध इतरत्र आहे।

मऊ आणि कठोर उंबरठे दोन वेगळ्या घटना आहेत

कठोर मर्यादा संघ संपवण्याच्या खूप आधी मऊ उंबरठा बदली मागतो, आणि अंमलबजावणी तुम्ही कॉन्फिगर केलेल्यावर स्वतःचे मार्जिन आणि यादृच्छिकीकरण चढवतात। म्हणून निरीक्षित अंतर जवळजवळ कधीच गोल संख्या नसते। IPsec स्थापत्य वेळ आणि बाइट मोजणीत व्यक्त आयुष्याचे दोन प्रकारच्या उंबरठ्यांसह वर्णन करते, आणि आधी संपणारेच लागू होते। एक छापलेले आयुष्य वेळापत्रक मानल्यास मार्जिनइतके चुकाल।

प्रभावी धोरण फाइलमधील संख्येवरून अनुमान न काढता चालू स्थितीतून वाचा, कारण मार्जिन अंमलबजावणीचे आहे, तुमच्या हेतूचे नाही। लक्षण शांत करण्यासाठी मर्यादा त्यांच्या कमालीपर्यंत ताणण्याच्या मोहाला प्रतिकार करा: वेळापत्रकानुसार की बदलणारा बोगदा डिझाइनप्रमाणे वागतो, आणि लांब आयुष्य घटना पुढे ढकलते एवढेच नाही तर तडजोड झालेली की अधिक काळ वापरण्यायोग्य ठेवते। जेव्हा बदली स्वतः अयशस्वी होते, तेव्हा मर्यादा दूत असते, दोष नाही।

चालू स्थितीतून प्रभावी आयुष्य वाचा

strongSwan वर swanctl --list-sas संघाचा सारांश त्याच्या की-बदल आणि आयुष्याच्या वेळांसह छापतो, त्यामुळे डेमन जे मूल्य लागू करू इच्छितो ते अंदाजाशिवाय दिसते। डेमन दृश्य नसलेल्या Linux यजमानावर ip xfrm state कॉन्फिगर केलेली मऊ आणि कठोर बाइट व पॅकेट मर्यादा सध्याच्या काउंटरांच्या शेजारी कळवते। ती दोन वाचने वेगळ्या प्रश्नांची उत्तरे देतात आणि दोन्ही तिकिटात ठेवण्यासारखी आहेत।

swanctl --list-sas
ip -s xfrm state

छापलेल्या मऊ उंबरठ्याची तुम्ही मोजलेल्या अंतराशी तुलना करा, कारण कठोर मर्यादेखालील मार्जिनने सुरू होणारी बदली सामान्य आहे आणि कधीही न सुरू होणारी नाही। डेमन एक आयुष्य दाखवत असेल आणि कर्नेल स्थिती दुसरे, तर तुम्ही जुळत नसलेले दोन स्तर पाहत आहात, आणि तेच स्वतः शोध आहे।

SA बदलणाऱ्या देवघेवीवर लक्ष ठेवा

तीन नूतनीकरणे वेगळे ठेवा, कारण ते वेगळ्या प्रकारे अयशस्वी होतात: IKE SA की-बदल नवीन नियंत्रण संघ बांधतो, CHILD SA की-बदल डेटा संघ बदलतो, आणि पुनर्प्रमाणीकरण ओळखीची देवघेव पुन्हा करते। IKEv2 मध्ये प्रत्येक सहकारी एका सामायिक मूल्यावर वाटाघाटी करण्याऐवजी स्वतःचे आयुष्य ठरवतो, त्यामुळे तुम्ही सुरू न केलेली देवघेव सामान्य आहे। perfect forward secrecy मधील विसंगती नवीन child SA नेमक्या की-बदल अंतरावर मरण्याचे वारंवार कारण आहे, आणि कोणी प्रस्ताव वाचेपर्यंत ती नेमकी टाइमर बिघाडासारखी दिसते।

जुन्या संघाची त्याच्या उत्तराधिकारी आणि त्याला जन्म देणाऱ्या देवघेवीशी तुलना करा। ओळखकर्ता नाहीसा होणे ही नियमित बदली आहे; नाकारलेला प्रस्ताव, गहाळ प्रतिसाद किंवा उपयुक्त उत्तराधिकारी स्थितीचा अभाव ही वेगळ्या मालकाची वेगळी घटना आहे। काहीही बदलण्यापूर्वी तो पुरावा जतन करा, कारण आवृत्ती-विशिष्ट टिपा, सहकाऱ्याचा प्रस्ताव आणि वाटाघाटी केलेली आयुष्य हीच लॉग फिरल्यानंतर आठवडाभरानेही प्रकरण वाचनीय ठेवतात।

लपवण्याऐवजी नूतनीकरण सिद्ध करा

तुमच्यासोबत घडणाऱ्या नूतनीकरणाऐवजी तुम्ही नियोजित केलेल्या नूतनीकरणातून जाऊन तैनाती स्वीकारा। देखभाल खिडकीत एकदा की-बदल बळजबरीने करा, नंतर पुष्टी करा की त्यानंतर दोन्ही दिशा डेटा वाहतात आणि अनुप्रयोगाचा निकाल बदललेला नाही, फक्त बोगदा निर्देशक हिरवा आहे एवढेच नाही। कोणती मर्यादा सक्रिय झाली आणि कोणती देवघेव सहभागी होती ते नोंदवा।

अशा आकाराचा निष्कर्ष तपासणीत टिकतो, पण जोडणी एक दुपार शांत दाखवणारे बदललेले टाइमर मूल्य टिकत नाही। फक्त टाइमर हलला असेल, तर पुरावाही त्याच्यासोबत हलला।