Għaliex mina IPsec mgħobbija tibdel iċ-ċwievet kmieni: limiti ta’ żmien u ta’ volum

Bejn wieħed u ieħor kull ħamsin minuta, mina fuq konnessjoni mgħobbija taqa’ għal ftit sekondi, u l-ewwel suspett huwa l-arloġġ. L-assoċjazzjonijiet jistgħu jintemmu b’limitu ta’ żmien jew b’għadd ta’ bytes, u liema fruntiera tasal l-ewwel hija dik li tirtirahom. Fuq konnessjoni li ġġorr traffiku reali, limitu ta’ volum jista’ jidħol fis-seħħ ħafna qabel ma tispiċċa s-siegħa kkonfigurata. Mela «kmieni wisq» hija dikjarazzjoni dwar l-arloġġ, mhux dwar l-assoċjazzjoni.

Għodd dak li tgħodd l-assoċjazzjoni, mhux l-interface

It-total ta’ bytes ta’ interface, il-ħruġ kombinat ta’ dashboard u l-kontatur tal-assoċjazzjoni stess huma tliet numri separati, u wieħed biss minnhom jiġi mqabbel mal-limitu. Irreġistra l-assoċjazzjonijiet tad-dħul u tal-ħruġ separatament bl-identifikaturi tagħhom, biex bidla taċ-ċavetta li tmiss direzzjoni waħda tidher bħala avveniment direzzjonali minflok misteru. Il-kontatur tal-assoċjazzjoni jerġa’ jibda wkoll meta tinbidel iċ-ċavetta, għalhekk total meħud mill-interface jikber filwaqt li l-valur li jgħodd jerġa’ jiġi stabbilit.

Il-kalkolu jiswa li jsir darba biex l-ordni tal-kobor tieqaf tidher arbitrarja. Baġit magħdud ta’ gibibyte wieħed li jiġi mċekken b’rata kostanti ta’ 128 mebibyte fil-minuta jispiċċa fi tmien minuti, u dik hija konverżjoni ta’ unità, mhux kejl tal-mina tiegħek. Jekk iċ-ċifra li tirriżulta tinżel ħafna taħt il-limitu ta’ żmien, il-volum huwa l-mekkaniżmu u l-ebda osservazzjoni tal-arloġġ mhi se tispjega l-intervall. Jekk tinżel ħafna ’l fuq minnu, il-limitu ta’ bytes mhuwiex il-grillu tiegħek u t-tfittxija tappartjeni band’oħra.

Il-limitu ratba u iebes huma żewġ avvenimenti differenti

Limitu ratba jitlob sostituzzjoni ħafna qabel ma l-limitu iebes itemm l-assoċjazzjoni, u l-implimentazzjonijiet iżidu l-marġni u l-aċċidentalità tagħhom stess fuq dak li kkonfigurajt. Għalhekk l-intervall osservat kważi qatt mhu numru tond. arkitettura IPsec jiddeskrivi ħajjiet espressi fi żmien u għadd ta’ bytes biż-żewġ tipi ta’ limitu, u l-iskadenza l-aktar bikrija tiggverna. Jekk tittratta ħajja stampata waħda bħala skeda, tkun żbaljat bil-marġni.

Aqra l-politika effettiva mill-istat li qed jaħdem minflok tasal għaliha minn numru fi fajl, għax il-marġni jappartjeni lill-implimentazzjoni, mhux lill-intenzjoni tiegħek. Irreżisti t-tentazzjoni li tġebbed il-limiti lejn il-massimu tagħhom biex tiskot is-sintomu: mina li tibdel iċ-ċwievet skont l-iskeda qed taġixxi kif inhi mfassla, u ħajja itwal biss tipposponi l-avveniment filwaqt li żżomm ċavetta kompromessa użabbli għal aktar żmien. Meta s-sostituzzjoni stess tfalli, il-limitu huwa l-messaġġier u mhux il-ħtija.

Aqra l-ħajja effettiva mill-istat li qed jaħdem

Fuq strongSwan, swanctl --list-sas jistampa s-sommarju tal-assoċjazzjoni bil-ħinijiet tal-bidla taċ-ċavetta u tal-ħajja tiegħu, għalhekk il-valur li d-daemon beħsiebu jinfurza jidher mingħajr ma taqta’ xejn. Fuq host Linux mingħajr veduta tad-daemon, ip xfrm state jirrapporta l-limiti ratba u iebsa ta’ bytes u pakketti kkonfigurati ħdejn il-kontaturi attwali. Dawn iż-żewġ qari jwieġbu mistoqsijiet differenti u t-tnejn jixirqu jinżammu fit-ticket.

swanctl --list-sas
ip -s xfrm state

Qabbel il-limitu ratba stampat mal-intervall li qisst, għax sostituzzjoni li tibda b’marġni taħt il-limitu iebes hija normali u waħda li qatt ma tibda mhijiex. Jekk id-daemon juri ħajja waħda u l-istat tal-kernel juri oħra, qed tħares lejn żewġ saffi li ma jaqblux, u dak innifsu huwa s-sejba.

Osserva l-iskambju li jissostitwixxi l-SA

Żomm it-tliet tiġdidiet separati, għax ifallu b’modi differenti: bidla taċ-ċavetta tal-IKE SA tibni assoċjazzjoni ta’ kontroll ġdida, bidla taċ-ċavetta tal-CHILD SA tissostitwixxi l-assoċjazzjoni tad-data, u l-awtentikazzjoni mill-ġdid tirrepeti l-iskambju tal-identità. Fl-IKEv2 kull pari jiddeċiedi l-ħajjiet tiegħu stess minflok jinnegozja valur wieħed komuni, mela skambju li ma bdejtx huwa normali. Differenza fil-perfect forward secrecy hija raġuni frekwenti għaliex child SA ġdida tmut eżattament fl-intervall tal-bidla taċ-ċavetta, u tidher eżattament bħal ħsara fit-timer sakemm xi ħadd jaqra l-proposta.

Qabbel l-assoċjazzjoni l-qadima mas-suċċessura tagħha u mal-iskambju li ħoloqha. Identifikatur li jisparixxi huwa sostituzzjoni rutina; proposta miċħuda, risposta neqsin jew nuqqas ta’ stat suċċessur użabbli huwa avveniment differenti b’proprjetarju differenti. Ippreserva dak ix-xhieda qabel tibdel xejn, għax in-noti speċifiċi għall-verżjoni, il-proposta tal-pari u l-ħajjiet negozjati huma dak li jagħmel il-każ jinqara ġimgħa wara, wara li l-logs iduru.

Ipprova t-tiġdid minflok taħbih

Aċċetta d-deployment billi tgħaddi minn tiġdid li ppjanajt u mhux minn wieħed li jiġrilek. Ġġiegħel bidla waħda taċ-ċavetta fi ħdan tieqa ta’ manutenzjoni, imbagħad ikkonferma li ż-żewġ direzzjonijiet iġorru data wara u li r-riżultat tal-applikazzjoni mhux mibdul, mhux biss li l-indikatur tal-mina huwa aħdar. Irreġistra liema limitu daħal fis-seħħ u liema skambju kien involut.

Konklużjoni ta’ dik il-forma tiflaħ għall-iskrutinju, filwaqt li valur tat-timer mibdul li għamel il-konnessjoni tidher kwieta għal waranofsinhar ma tiflaħx. Jekk mexa biss it-timer, ix-xhieda mxiet miegħu.