Mengapa terowong IPsec sibuk menukar kunci lebih awal: had masa berbanding isipadu

Kira-kira setiap lima puluh minit, terowong pada pautan sibuk terputus selama beberapa saat, dan suspek pertama ialah jam. Persatuan boleh tamat pada had masa atau pada kiraan bait, dan had mana yang tiba dahulu itulah yang memberhentikan mereka. Pada pautan yang membawa trafik sebenar, had isipadu boleh tercetus jauh sebelum jam yang dikonfigurasikan tamat. Jadi «terlalu awal» ialah kenyataan tentang jam, bukan tentang persatuan.

Kira apa yang dikira persatuan, bukan antara muka

Jumlah bait antara muka, daya pemprosesan gabungan papan pemuka dan pembilang persatuan itu sendiri ialah tiga nombor berasingan, dan hanya satu daripadanya dibandingkan dengan had. Rekodkan persatuan masuk dan keluar secara berasingan dengan pengenalnya, supaya penukaran kunci yang menyentuh satu arah muncul sebagai peristiwa berarah dan bukan misteri. Pembilang persatuan juga bermula semula semasa penukaran kunci, sebab itulah jumlah yang diambil daripada antara muka bertambah manakala nilai yang penting ditetapkan semula.

Pengiraan itu wajar dilakukan sekali supaya susunan magnitud tidak lagi terasa sewenang-wenangnya. Bajet terkiral satu gibibait yang habis pada kadar tetap 128 mebibait seminit kehabisan dalam lapan minit, dan itu penukaran unit, bukan pengukuran terowong anda. Jika angka yang terhasil jauh di bawah had masa, isipadu ialah mekanismenya dan tiada pemerhatian jam akan menjelaskan selang itu. Jika ia jauh di atasnya, had bait bukan pencetus anda dan carian itu milik tempat lain.

Ambang lembut dan keras ialah dua peristiwa berbeza

Ambang lembut meminta penggantian jauh sebelum had keras menamatkan persatuan, dan pelaksanaan menambah margin serta pengacakan mereka sendiri di atas apa yang anda konfigurasikan. Sebab itulah selang yang diperhatikan hampir tidak pernah menjadi nombor bulat. seni bina IPsec menerangkan hayat yang dinyatakan dalam masa dan kiraan bait dengan dua jenis ambang, dan tamat tempoh yang lebih awal yang mengawal. Jika anda menganggap satu hayat tercetak sebagai jadual, anda akan tersilap sebesar margin.

Baca dasar berkesan daripada keadaan berjalan dan bukannya menyimpulkannya daripada nombor dalam fail, kerana margin itu milik pelaksanaan, bukan niat anda. Tahan dorongan untuk meregangkan had ke maksimumnya bagi mendiamkan simptom: terowong yang menukar kunci mengikut jadual berkelakuan seperti direka bentuk, dan hayat yang lebih panjang hanya menangguhkan peristiwa sambil membiarkan kunci yang terjejas boleh digunakan lebih lama. Apabila penggantian itu sendiri gagal, had itu ialah utusan, bukan kesalahannya.

Baca hayat berkesan daripada keadaan berjalan

Pada strongSwan, swanctl --list-sas mencetak ringkasan persatuan dengan masa penukaran kunci dan hayatnya, jadi nilai yang ingin dikuatkuasakan daemon kelihatan tanpa meneka. Pada hos Linux tanpa paparan daemon, ip xfrm state melaporkan had bait dan paket lembut serta keras yang dikonfigurasikan di sebelah pembilang semasa. Kedua-dua bacaan itu menjawab soalan berbeza dan kedua-duanya wajar disimpan dalam tiket.

swanctl --list-sas
ip -s xfrm state

Bandingkan ambang lembut yang dicetak dengan selang yang anda ukur, kerana penggantian yang bermula dengan margin di bawah had keras adalah normal dan yang tidak pernah bermula tidak. Jika daemon menunjukkan satu hayat dan keadaan kernel menunjukkan yang lain, anda sedang melihat dua lapisan yang tidak bersetuju, dan itu sendiri ialah penemuannya.

Perhatikan pertukaran yang menggantikan SA

Asingkan tiga pembaharuan, kerana ia gagal dengan cara berbeza: penukaran kunci IKE SA membina persatuan kawalan baharu, penukaran kunci CHILD SA menggantikan persatuan data, dan pengesahan semula mengulangi pertukaran identiti. Dalam IKEv2 setiap rakan memutuskan hayatnya sendiri dan bukannya berunding satu nilai bersama, jadi pertukaran yang anda tidak mulakan adalah biasa. Ketidakseragaman perfect forward secrecy ialah punca kerap kematian child SA baharu tepat pada selang penukaran kunci, dan ia kelihatan betul-betul seperti kerosakan pemasa sehingga seseorang membaca cadangannya.

Bandingkan persatuan lama dengan penggantinya dan dengan pertukaran yang menghasilkannya. Pengenal yang hilang ialah penggantian rutin; cadangan yang ditolak, respons yang hilang atau ketiadaan keadaan pengganti yang boleh digunakan ialah peristiwa lain dengan pemilik lain. Peliharakan bukti itu sebelum mengubah apa-apa, kerana nota khusus versi, cadangan rakan dan hayat yang dirundingkan itulah yang menjadikan kes itu boleh dibaca seminggu kemudian, selepas log berputar.

Buktikan pembaharuan bukan menyembunyikannya

Terima penggunaan dengan melalui pembaharuan yang anda rancang dan bukan pembaharuan yang berlaku kepada anda. Paksa satu penukaran kunci dalam tetingkap penyelenggaraan, kemudian sahkan kedua-dua arah membawa data selepasnya dan hasil aplikasi tidak berubah, bukan sekadar penunjuk terowong hijau. Catat had mana yang tercetus dan pertukaran mana yang terlibat.

Kesimpulan dengan bentuk itu bertahan dalam penelitian, manakala nilai pemasa yang diubah sehingga sambungan kelihatan tenang selama satu petang tidak. Jika hanya pemasa bergerak, buktinya bergerak bersamanya.