Monitoraġġ ta’ interface ta’ tunnel IPsec: x’taqra

Disinn IPsec ibbażat fuq rotot jinstalla interface virtwali, u dik l-interface tagħti lill-monitoraġġ oġġett konkret: xi ħaġa b’isem, b’counters u b’rotta marbuta magħha. Mhuwiex fih innifsu sinjal ta’ saħħa. L-interface tista’ teżisti waqt li ma jkun installat l-ebda assoċjazzjoni użabbli, u assoċjazzjoni tista’ tkun sana waqt li l-ebda rotta ma tibgħat it-traffiku interessanti lejha. Huwa l-qari ta’ erba’ stati flimkien li jbiddel counter tal-pakketti f’dijanjosi.

Għaddihom bl-ordni u waqaf fl-ewwel wieħed li jonqos.

X’żżid l-interface mal-istampa

F’disinn ibbażat fuq politiki, l-għażla tgħix fit-tabella tal-politiki IPsec u l-kernel jiddeċiedi x’jiġi protett skont is-seletturi tat-traffiku. Disinn ibbażat fuq rotot iżid interface u rotta, sabiex tcpdump u l-counters tal-interface jaraw fruntiera waħda minflok sett ta’ seletturi. Dan huwa gwadann reali għad-dijanjosi u għall-protokolli tar-routing li jeħtieġu interface biex jagħmlu peering fuqha.

Il-gwadann huwa amministrattiv, mhux kriptografiku. L-interface tirrapporta t-traffiku li ġġorr u ma tgħid xejn dwar jekk il-protezzjoni tal-peer hijiex użabbli bħalissa.

Aqra l-erba’ stati qabel ma takkuża t-tunnel

Ibda bl-interface u mar-rotta, imbagħad bl-assoċjazzjoni, imbagħad bl-applikazzjoni. Kull waħda għandha l-kmand tagħha u l-firma tal-falliment tagħha. Riżultat nadif fuq saff mhuwiex riżultat nadif fuq dak li jmiss. Mexxi l-erbgħa kollha qabel ma tasal għal konklużjoni. Linja waħda ħadra rari tiddeċiedi xi ħaġa.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Interface li l-counter tagħha qed jogħla iżda li m’għandhiex entrata ta’ stat li taqbel magħha tiddeskrivi traffiku li qed jidħol f’rotta fejn xejn ma jipproteġih, u dan huwa agħar minn tunnel li sempliċement huwa ’l isfel. Entrata ta’ stat mingħajr rotta li tagħżel l-interface tfisser li l-kriptografija hija lesta u mhux użata.

It-test tal-applikazzjoni jiġi l-aħħar u apposta: ping ta’ suċċess lejn in-naħa l-oħra tat-tunnel ma jipprovax li s-servizz warajh jaċċetta konnessjonijiet.

Qabbel il-counters ta’ ġewwa ma’ dawk ta’ barra

Il-counters fuq l-interface tat-tunnel ikejlu t-traffiku ta’ ġewwa; il-counters u l-qabdiet fuq l-interface fiżika juru l-iskambju inkapsulat. It-tnejn mhux se jaqblu wieħed għal wieħed, għax l-inkapsulament iżid headers, it-trasmissjonijiet mill-ġdid jidduplikaw xi pakketti u l-kontabbiltà tal-implementazzjoni ssegwi regoli tagħha stess. Stennej proporzjon, mhux ugwaljanza.

Il-post tal-qabda jiddetermina wkoll liema data privata tiġbor, għalhekk uża filtri dojoq u indirizz tat-test mingħajr ħsara minflok qabda sħiħa tat-traffiku tal-produzzjoni.

Jekk il-għadd ta’ ġewwa jogħla u dak ta’ barra le, il-pass nieqes normalment huwa r-rotta jew il-politika li tibgħat il-pakketti fit-tunnel, mhux it-tunnel innifsu.

Insegwih matul it-tiġdid tal-keys u l-failover

Osserva tiġdid tal-keys, avveniment ta’ skoperta ta’ peer mejjet u failover tal-link waqt li tosserva l-istess erba’ stati. Interface tista’ tibqa’ preżenti matul tiġdid tal-keys li qatt ma jitlesta, u failover jista’ jħalli entrata ta’ stat li tipponta lejn indirizz tal-peer li m’għadux aċċessibbli.

Allarma fuq il-passaġġ tas-servizz li verament tiddependi minnu, bl-istat tal-assoċjazzjoni bħala kuntest, mhux fuq bandiera waħda ’l fuq jew ’l isfel. Żomm l-isem tal-interface, l-indirizz tal-peer u r-rotta fil-payload tal-allarm, sabiex min iwieġeb ma jkollux għalfejn jerġa’ jibnihom.

strongSwan jiddokumenta l-mudell tal-interface XFRM tiegħu, u pjattaformi oħra jsejħu u jimplimentaw l-oġġett ekwivalenti b’mod differenti. Aqra l-paragun ibbażat fuq rotot għall-apparat quddiemek qabel ma tittrasferixxi suppożizzjonijiet minn implimentazzjoni oħra. Mudell ta’ monitoraġġ li jaqbel mal-counters ta’ fornitur wieħed se jqarraq bil-kwiet fuq ieħor.