IPsec बोगदा इंटरफेसचे निरीक्षण: काय वाचावे

मार्ग-आधारित IPsec रचना एक आभासी इंटरफेस स्थापित करते आणि हा इंटरफेस निरीक्षणाला एक ठोस वस्तू देतो: नाव, काउंटर आणि त्याला जोडलेला मार्ग असलेली एखादी गोष्ट. तो स्वतःच आरोग्याचा संकेत नाही. इंटरफेस तेव्हाही अस्तित्वात असू शकतो जेव्हा कोणतीही उपयुक्त असोसिएशन स्थापित नसते, आणि असोसिएशन निरोगी असू शकते जेव्हा कोणताही मार्ग स्वारस्याचा रहदारी तिच्याकडे पाठवत नाही. चार अवस्था एकत्र वाचणे हेच पॅकेट काउंटरला निदानात बदलते.

हे क्रमाने पाहा आणि पहिल्या अयशस्वी अवस्थेवर थांबा.

इंटरफेस चित्रात काय भर घालतो

धोरण-आधारित रचनेत निवड IPsec धोरण तक्त्यात राहते आणि कर्नेल रहदारी निवडकांच्या आधारे काय संरक्षित होईल हे ठरवते. मार्ग-आधारित रचना इंटरफेस आणि मार्ग जोडते, त्यामुळे tcpdump आणि इंटरफेस काउंटर निवडकांच्या गठ्ठ्याऐवजी एक सीमा पाहतात. हे निदानासाठी आणि peering साठी इंटरफेस आवश्यक असलेल्या मार्गनिर्देशन प्रोटोकॉलसाठी खरा फायदा आहे.

फायदा प्रशासकीय आहे, क्रिप्टोग्राफिक नाही. इंटरफेस आपल्या वाहून नेलेल्या रहदारीचा अहवाल देतो आणि सहकार्याची संरक्षणा सध्या उपयुक्त आहे की नाही याबद्दल काहीही सांगत नाही.

बोगद्याला दोष देण्यापूर्वी चार अवस्था वाचा

इंटरफेस आणि मार्गापासून सुरुवात करा, नंतर असोसिएशन, नंतर अनुप्रयोग. प्रत्येकाचा स्वतःचा आदेश आणि स्वतःची अयशस्वीतेची खूण आहे. एका स्तरावर स्वच्छ निकाल पुढच्या स्तरावर स्वच्छ निकाल नसतो. निष्कर्ष काढण्यापूर्वी चारही चालवा. एक हिरवी ओळ क्वचितच काही ठरवते.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

ज्या इंटरफेसचा काउंटर वाढतो पण जुळणारी अवस्था नोंद नाही, तो अशा रहदारीचे वर्णन करतो जी अशा मार्गात प्रवेश करते जिथे काहीही तिचे संरक्षण करत नाही, आणि हे केवळ बंद बोगद्यापेक्षा वाईट आहे. मार्ग नसलेली अवस्था नोंद जी इंटरफेस निवडेल, तिचा अर्थ क्रिप्टोग्राफी तयार आणि अवापरलेली आहे.

अनुप्रयोग चाचणी हेतुपुरस्सर शेवटी येते: बोगद्याच्या पलीकडे यशस्वी ping हे सिद्ध करत नाही की त्यामागील सेवा जोडण्या स्वीकारते.

आतील काउंटरची बाहेरील काउंटरशी तुलना करा

बोगदा इंटरफेसवरील काउंटर आतील रहदारी मोजतात; भौतिक इंटरफेसवरील काउंटर आणि कॅप्चर encapsulated देवघेव दाखवतात. हे दोन एक-एक करून जुळणार नाहीत, कारण encapsulation शीर्षलेख जोडते, पुनःप्रेषण काही पॅकेटची प्रत करते आणि implementation चे हिशोब स्वतःच्या नियमांनी चालते. गुणोत्तराची अपेक्षा करा, समानतेची नाही.

कॅप्चरचे स्थान हेही ठरवते की तुम्ही कोणता खाजगी डेटा गोळा करता, म्हणून उत्पादन रहदारीच्या संपूर्ण कॅप्चरऐवजी अरुंद फिल्टर आणि एक निरुपद्रवी चाचणी पत्ता वापरा.

जर आतील गणना वाढली आणि बाहेरील नाही, तर गहाळ पायरी सहसा तीच मार्ग किंवा धोरण आहे जे पॅकेट बोगद्यात पाठवते, बोगदा स्वतः नाही.

की नूतनीकरण आणि फेलओव्हरमधून ते पहा

त्याच चार अवस्थांकडे लक्ष ठेवून की नूतनीकरण, मृत सहकारी ओळखण्याची घटना आणि दुवा फेलओव्हर पाहा. इंटरफेस असा की नूतनीकरण चालू असतानाही उपस्थित राहू शकतो जो कधीही पूर्ण होत नाही, आणि फेलओव्हर अवस्था नोंदीला अशा सहकारी पत्त्याकडे दाखवत सोडू शकतो जो आता पोहोचण्यायोग्य नाही.

ज्या सेवा मार्गावर तुम्ही खरोखर अवलंबून आहात त्यावर इशारा द्या, असोसिएशनची अवस्था संदर्भ म्हणून घेऊन, एका वरच्या किंवा खालच्या ध्वजावर नाही. इंटरफेसचे नाव, सहकारी पत्ता आणि मार्ग इशाऱ्याच्या पेलोडमध्ये ठेवा, जेणेकरून प्रतिसाद देणाऱ्याला ते पुन्हा बांधावे लागणार नाहीत.

strongSwan स्वतःचे XFRM इंटरफेस मॉडेल दस्तऐवजीकरण करते, आणि इतर प्लॅटफॉर्म समतुल्य वस्तूला वेगळे नाव देतात आणि वेगळ्या पद्धतीने अंमलात आणतात. दुसऱ्या implementation मधून गृहीतके हलवण्यापूर्वी तुमच्यासमोरच्या उपकरणासाठी मार्ग-आधारित तुलना वाचा. एका विक्रेत्याच्या काउंटरना बसणारा निरीक्षण साचा दुसऱ्यावर शांतपणे दिशाभूल करेल.