IPsec टनेल इन्टरफेसको निगरानी: के पढ्ने

मार्गमा आधारित IPsec डिजाइनले एउटा भर्चुअल इन्टरफेस स्थापना गर्छ, र यो इन्टरफेसले निगरानीलाई एउटा ठोस वस्तु दिन्छ: नाम, काउन्टर र त्यसमा जोडिएको मार्ग भएको कुरा। यो आफैंमा स्वास्थ्य सङ्केत होइन। इन्टरफेस तब पनि अवस्थित हुन सक्छ जब कुनै उपयोगी एसोसिएसन स्थापित छैन, र एसोसिएसन स्वस्थ हुन सक्छ जबकि कुनै मार्गले रुचिको ट्राफिक त्यसतर्फ पठाउँदैन। चार अवस्था सँगै पढ्नु नै प्याकेट काउन्टरलाई निदानमा बदल्छ।

यिनलाई क्रममा हेर्नुहोस् र पहिलो असफल अवस्थामा रोकिनुहोस्।

इन्टरफेसले चित्रमा के थप्छ

नीतिमा आधारित डिजाइनमा चयन IPsec नीति तालिकामा बस्छ र कर्नेलले ट्राफिक चयनकर्ताका आधारमा के सुरक्षित हुने निर्णय गर्छ। मार्गमा आधारित डिजाइनले इन्टरफेस र मार्ग थप्छ, त्यसैले tcpdump र इन्टरफेस काउन्टरले चयनकर्ताको समूहको सट्टा एउटा सीमा देख्छन्। यो निदानका लागि र peering का लागि इन्टरफेस चाहिने राउटिङ प्रोटोकलका लागि वास्तविक लाभ हो।

लाभ प्रशासनिक हो, क्रिप्टोग्राफिक होइन। इन्टरफेसले आफूले बोकेको ट्राफिकको जानकारी दिन्छ र साथीको सुरक्षा अहिले उपयोगी छ कि छैन भन्नेबारे केही भन्दैन।

टनेललाई दोष दिनुअघि चार अवस्था पढ्नुहोस्

इन्टरफेस र मार्गबाट सुरु गर्नुहोस्, त्यसपछि एसोसिएसन, त्यसपछि एप्लिकेसन। प्रत्येकको आफ्नै आदेश र आफ्नै असफलताको हस्ताक्षर छ। एउटा तहमा सफा नतिजा अर्को तहमा सफा नतिजा होइन। निष्कर्ष निकाल्नुअघि चारै चलाउनुहोस्। एउटा हरियो लाइनले विरलै केही टुङ्गो लगाउँछ।

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

जसको काउन्टर बढिरहेको छ तर मिल्ने अवस्था प्रविष्टि छैन, त्यस्तो इन्टरफेसले यस्तो ट्राफिक वर्णन गर्छ जो यस्तो बाटोमा छिरिरहेको छ जहाँ केहीले पनि यसको रक्षा गर्दैन, र यो केवल बन्द टनेलभन्दा नराम्रो हो। मार्ग बिनाको अवस्था प्रविष्टि जसले इन्टरफेस छान्ने थियो, यसको अर्थ क्रिप्टोग्राफी तयार छ र अप्रयुक्त छ।

एप्लिकेसन परीक्षण जानाजानी अन्त्यमा आउँछ: टनेलको अर्को छेउमा सफल ping ले त्यसपछाडिको सेवाले जडान स्वीकार्छ भनी प्रमाणित गर्दैन।

भित्री काउन्टरको बाहिरी काउन्टरसँग तुलना गर्नुहोस्

टनेल इन्टरफेसमा काउन्टरले भित्री ट्राफिक नाप्छन्; भौतिक इन्टरफेसमा काउन्टर र क्याप्चरले encapsulated आदानप्रदान देखाउँछन्। यी दुई एक-एक गरेर मिल्दैनन्, किनकि encapsulation ले शीर्षक थप्छ, पुनःप्रेषणले केही प्याकेटको प्रतिलिपि बनाउँछ र implementation को हिसाब आफ्नै नियममा चल्छ। अनुपातको अपेक्षा गर्नुहोस्, समानताको होइन।

क्याप्चरको स्थानले तपाईं कुन निजी डेटा सङ्कलन गर्नुहुन्छ भन्ने पनि तय गर्छ, त्यसैले उत्पादन ट्राफिकको पूर्ण क्याप्चरको सट्टा साँघुरो फिल्टर र एउटा हानिरहित परीक्षण ठेगाना प्रयोग गर्नुहोस्।

यदि भित्री गणना बढ्यो र बाहिरी बढेन, तब छुटेको चरण सामान्यतया त्यो मार्ग वा नीति हो जसले प्याकेट टनेलमा पठाउँछ, टनेल आफैं होइन।

कुञ्जी नवीकरण र फेलओभरभरि यो हेर्नुहोस्

तीही चार अवस्थामा नजर राख्दै कुञ्जी नवीकरण, मृत साथी पहिचानको घटना र लिङ्क फेलओभर हेर्नुहोस्। इन्टरफेस यस्तो कुञ्जी नवीकरणका क्रममा पनि उपस्थित रहन सक्छ जो कहिल्यै पूरा हुँदैन, र फेलओभरले अवस्था प्रविष्टिलाई अब पुग्न नसकिने साथी ठेगानातर्फ देखाउँदै छोड्न सक्छ।

तपाईं साँच्चै भर पर्ने सेवा मार्गमा सतर्कता दिनुहोस्, एसोसिएसनको अवस्थालाई सन्दर्भका रूपमा लिएर, कुनै एउटा माथि वा तल झन्डामा होइन। इन्टरफेसको नाम, साथीको ठेगाना र मार्ग सतर्कताको पेलोडमा राख्नुहोस्, ताकि जवाफ दिनेले तिनलाई फेरि बनाउनु नपरोस्।

strongSwan आफ्नै XFRM इन्टरफेस मोडेल अभिलेख गर्छ, र अन्य प्लेटफर्मले समतुल्य वस्तुलाई फरक नाम दिन्छन् र फरक ढङ्गले लागू गर्छन्। अर्को implementation बाट अनुमान सार्नुअघि तपाईंको अगाडिको यन्त्रका लागि मार्गमा आधारित तुलना पढ्नुहोस्। एउटा विक्रेताको काउन्टरमा मिल्ने निगरानी टेम्प्लेट अर्कोमा चुपचाप भ्रमित गर्छ।