व्यस्त IPsec सुरुङ समयभन्दा पहिले किन कुञ्जी बदल्छ: समय र परिमाण सीमा

लगभग हरेक पचास मिनेटमा व्यस्त लिङ्कको सुरुङ केही सेकेन्डका लागि खस्छ, र पहिलो शंकास्पद घडी हो। संघहरू समय सीमा वा बाइट गणनामा अन्त्य हुन सक्छन्, र जुन सीमा पहिले आउँछ त्यसले तिनीहरूलाई अवकाश दिन्छ। वास्तविक ट्राफिक बोक्ने लिङ्कमा परिमाण सीमा कन्फिगर गरिएको घण्टा सकिनुभन्दा धेरै अघि सक्रिय हुन सक्छ। त्यसैले «धेरै चाँडो» घडीको बारेमा भनाइ हो, संघको बारेमा होइन।

इन्टरफेस होइन, संघले के गन्छ त्यो गन्नुहोस्

इन्टरफेसको कुल बाइट, ड्यासबोर्डको संयुक्त थ्रुपुट र संघको आफ्नै गणक तीन फरक संख्या हुन्, र तीमध्ये एउटाको मात्र सीमासँग तुलना गरिन्छ। आउने र जाने संघहरूलाई तिनका पहिचानकर्तासहित छुट्टाछुट्टै अभिलेख गर्नुहोस्, ताकि एउटा दिशालाई छुने कुञ्जी परिवर्तन रहस्य होइन, दिशात्मक घटनाका रूपमा देखियोस्। संघको गणक पनि कुञ्जी परिवर्तनमा फेरि सुरु हुन्छ, त्यसैले इन्टरफेसबाट लिइएको कुल बढ्छ जबकि महत्त्वपूर्ण मान रिसेट हुन्छ।

गणना एक पटक गर्न लायक छ ताकि परिमाणको क्रम स्वैच्छिक लाग्न छोडोस्। प्रति मिनेट स्थिर 128 मेबीबाइट दरमा खर्च हुने एक गिबीबाइटको गणिएको बजेट आठ मिनेटमा सकिन्छ, र त्यो इकाइ रूपान्तरण हो, तपाईंको सुरुङको मापन होइन। यदि नतिजाको संख्या समय सीमाभन्दा धेरै तल छ भने, परिमाण नै संयन्त्र हो र घडी हेर्दा अन्तराल व्याख्या हुँदैन। यदि त्यो धेरै माथि छ भने, बाइट सीमा तपाईंको ट्रिगर होइन र खोज अन्तै पर्छ।

नरम र कठोर थ्रेसहोल्ड दुई फरक घटना हुन्

कठोर सीमाले संघ अन्त्य गर्नुभन्दा धेरै अघि नरम थ्रेसहोल्ड प्रतिस्थापन माग्छ, र कार्यान्वयनहरूले तपाईंले कन्फिगर गरेकोमाथि आफ्नै मार्जिन र अनियमितीकरण थप्छन्। त्यसैले अवलोकन गरिएको अन्तराल लगभग कहिल्यै गोलो संख्या हुँदैन। IPsec वास्तुकला समय र बाइट गणनामा व्यक्त आयुलाई दुई प्रकारका थ्रेसहोल्डसहित वर्णन गर्छ, र पहिले सकिने नै लागू हुन्छ। एउटा छापिएको आयुलाई तालिका मान्नुभयो भने मार्जिन जति गलत हुनुहुनेछ।

प्रभावकारी नीति फाइलको संख्याबाट अनुमान नगरी चालु अवस्थाबाट पढ्नुहोस्, किनकि मार्जिन कार्यान्वयनको हो, तपाईंको मनसायको होइन। लक्षण शान्त पार्न सीमालाई तिनको अधिकतमतिर तान्ने प्रलोभनको प्रतिरोध गर्नुहोस्: तालिकाअनुसार कुञ्जी बदल्ने सुरुङ डिजाइनअनुसार व्यवहार गर्छ, र लामो आयुले घटनालाई मात्र पछाडि धकेल्छ र सम्झौता भएको कुञ्जीलाई बढी समय उपयोगी राख्छ। जब प्रतिस्थापन आफै असफल हुन्छ, सीमा दूत हो, दोष होइन।

चालु अवस्थाबाट प्रभावकारी आयु पढ्नुहोस्

strongSwan मा, swanctl --list-sas ले संघको सारांश यसको कुञ्जी-परिवर्तन र आयु समयसहित छाप्छ, त्यसैले डेमनले लागू गर्न खोजेको मान अनुमानबिना देखिन्छ। डेमन दृश्य नभएको Linux होस्टमा, ip xfrm state ले कन्फिगर गरिएका नरम र कठोर बाइट तथा प्याकेट सीमा वर्तमान गणकहरूको छेउमा रिपोर्ट गर्छ। ती दुई पठनले फरक प्रश्नको उत्तर दिन्छन् र दुवै टिकटमा राख्न लायक छन्।

swanctl --list-sas
ip -s xfrm state

छापिएको नरम थ्रेसहोल्डलाई तपाईंले नापेको अन्तरालसँग तुलना गर्नुहोस्, किनकि कठोर सीमाभन्दा तल मार्जिनसहित सुरु हुने प्रतिस्थापन सामान्य हो र कहिल्यै नसुरु हुने होइन। यदि डेमनले एउटा आयु देखाउँछ र कर्नेल अवस्थाले अर्को, तपाईं नमिल्ने दुई तह हेर्दै हुनुहुन्छ, र त्यो आफै निष्कर्ष हो।

SA प्रतिस्थापन गर्ने विनिमय हेर्नुहोस्

तीन नवीकरण छुट्टै राख्नुहोस्, किनकि तिनी फरक तरिकाले असफल हुन्छन्: IKE SA कुञ्जी परिवर्तनले नयाँ नियन्त्रण संघ बनाउँछ, CHILD SA कुञ्जी परिवर्तनले डेटा संघ बदल्छ, र पुनःप्रमाणीकरणले पहिचान विनिमय दोहोर्याउँछ। IKEv2 मा प्रत्येक साथीले एउटा साझा मानमा वार्ता गर्नुको सट्टा आफ्नै आयु तय गर्छ, त्यसैले तपाईंले सुरु नगरेको विनिमय सामान्य हो। perfect forward secrecy को असमझदारी नयाँ child SA ठ्याक्कै कुञ्जी-परिवर्तन अन्तरालमा मर्ने बारम्बार कारण हो, र कसैले प्रस्ताव नपढेसम्म त्यो ठ्याक्कै टाइमर खराबीजस्तो देखिन्छ।

पुरानो संघलाई यसको उत्तराधिकारी र यसलाई जन्म दिने विनिमयसँग तुलना गर्नुहोस्। पहिचानकर्ता हराउनु नियमित प्रतिस्थापन हो; अस्वीकृत प्रस्ताव, हराएको प्रतिक्रिया वा उपयोगी उत्तराधिकारी अवस्थाको अभाव फरक मालिकको फरक घटना हो। केही बदल्नुअघि त्यो प्रमाण सुरक्षित राख्नुहोस्, किनकि संस्करण-विशेष टिप्पणी, साथीको प्रस्ताव र वार्ता गरिएका आयु नै लग फर्केपछि एक हप्तापछि पनि मुद्दा पढ्नयोग्य बनाउने हुन्।

लुकाउने होइन, नवीकरण प्रमाणित गर्नुहोस्

तपाईंसँग हुने नवीकरणको सट्टा तपाईंले योजना गरेको नवीकरणबाट गुज्रेर तैनाती स्वीकार गर्नुहोस्। मर्मत विन्डोभित्र एक पटक कुञ्जी परिवर्तन बाध्य गर्नुहोस्, त्यसपछि दुवै दिशाले डेटा बोक्छन् र अनुप्रयोगको नतिजा अपरिवर्तित छ भनी पुष्टि गर्नुहोस्, सुरुङ सूचक हरियो छ भन्ने मात्र होइन। कुन सीमा सक्रिय भयो र कुन विनिमय संलग्न थियो अभिलेख गर्नुहोस्।

त्यस्तो आकारको निष्कर्ष जाँचमा टिक्छ, तर जडानलाई एक दिउँसो शान्त देखाउने बदलिएको टाइमर मान टिक्दैन। यदि टाइमर मात्र सर्यो भने, प्रमाण पनि त्यसैसँग सर्यो।