Memantau antara muka terowong IPsec: apa yang perlu dibaca

Reka bentuk IPsec berasaskan laluan memasang antara muka maya, dan antara muka itu memberikan objek konkrit kepada pemantauan: sesuatu dengan nama, pembilang dan laluan yang terikat padanya. Ia bukan isyarat kesihatan dengan sendirinya. Antara muka boleh wujud sementara tiada persatuan yang boleh digunakan dipasang, dan persatuan boleh sihat sementara tiada laluan menghantar trafik menarik ke arahnya. Membaca empat keadaan bersama-sama itulah yang menukar pembilang paket menjadi diagnosis.

Lalui mengikut urutan dan berhenti pada keadaan pertama yang gagal.

Apa yang antara muka tambah pada gambaran

Dalam reka bentuk berasaskan dasar, pemilihan tinggal dalam jadual dasar IPsec dan kernel memutuskan apa yang dilindungi berdasarkan pemilih trafik. Reka bentuk berasaskan laluan menambah antara muka dan laluan, jadi tcpdump dan pembilang antara muka melihat satu sempadan dan bukannya satu set pemilih. Ini keuntungan sebenar untuk diagnosis dan untuk protokol penghalaan yang memerlukan antara muka untuk peering.

Keuntungannya bersifat pentadbiran, bukan kriptografi. Antara muka melaporkan trafik yang dibawanya dan tidak berkata apa-apa tentang sama ada perlindungan rakan sebaya boleh digunakan sekarang.

Baca empat keadaan sebelum menyalahkan terowong

Mulakan dengan antara muka dan laluan, kemudian persatuan, kemudian aplikasi. Setiap satu mempunyai arahan sendiri dan tandatangan kegagalannya sendiri. Hasil bersih pada satu lapisan bukan hasil bersih pada lapisan seterusnya. Jalankan keempat-empatnya sebelum membuat kesimpulan. Satu baris hijau jarang menyelesaikan apa-apa.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Antara muka dengan pembilang yang naik tetapi tiada entri keadaan yang sepadan menggambarkan trafik yang masuk ke laluan yang tiada apa melindunginya, dan itu lebih teruk daripada terowong yang sekadar mati. Entri keadaan tanpa laluan yang memilih antara muka bermaksud kriptografi sedia dan tidak digunakan.

Ujian aplikasi datang terakhir dan dengan sengaja: ping yang berjaya ke sisi lain terowong tidak membuktikan bahawa perkhidmatan di belakangnya menerima sambungan.

Bandingkan pembilang dalam dengan pembilang luar

Pembilang pada antara muka terowong mengukur trafik dalam; pembilang dan tangkapan pada antara muka fizikal menunjukkan pertukaran yang dikapsulkan. Kedua-duanya tidak akan sepadan satu-satu, kerana pengkapsulan menambah pengepala, penghantaran semula menduplikasi sesetengah paket dan perakaunan pelaksanaan mengikut peraturannya sendiri. Jangkakan nisbah, bukan kesamaan.

Kedudukan tangkapan juga menentukan data peribadi yang anda kumpul, jadi gunakan penapis sempit dan alamat ujian yang tidak berbahaya dan bukannya tangkapan penuh trafik pengeluaran.

Jika kiraan dalam meningkat dan kiraan luar tidak, langkah yang hilang biasanya ialah laluan atau dasar yang menghantar paket ke dalam terowong, bukan terowong itu sendiri.

Pantau melalui pembaharuan kunci dan failover

Perhatikan pembaharuan kunci, peristiwa pengesanan rakan mati dan failover pautan sambil memantau empat keadaan yang sama. Antara muka boleh kekal wujud semasa pembaharuan kunci yang tidak pernah selesai, dan failover boleh meninggalkan entri keadaan yang menunjuk ke alamat rakan yang tidak lagi boleh dicapai.

Berikan amaran pada laluan perkhidmatan yang benar-benar anda bergantung padanya, dengan keadaan persatuan sebagai konteks, bukan pada satu bendera naik atau turun. Simpan nama antara muka, alamat rakan dan laluan dalam muatan amaran supaya yang bertindak balas tidak perlu membinanya semula.

strongSwan mendokumenkan model antara muka XFRMnya sendiri, dan platform lain menamakan serta melaksanakan objek setara secara berbeza. Baca perbandingan berasaskan laluan untuk peranti di hadapan anda sebelum memindahkan andaian daripada pelaksanaan lain. Templat pemantauan yang sesuai dengan pembilang satu vendor akan mengelirukan secara senyap pada yang lain.