ولې بوخت IPsec تونل وخت نه مخکې کیلي بدلوي: د وخت او حجم محدودیتونه

نږدې هر پنځوس دقیقې وروسته، په بوخت لینک کې تونل څو ثانیې غورځي، او لومړی شکمن ساعت دی۔ ټولنې کولای شي د وخت حد یا د بایټ شمېر له مخې پای ته ورسېږي، او کوم حد چې لومړی راځي هغه یې تقاعد ته لېږي۔ په هغه لینک چې ریښتینی ټرافیک وړي، د حجم حد کولای شي د ټاکل شوي ساعت له پای ته رسیدو ډېر مخکې فعال شي۔ نو «ډېر ژر» د ساعت په اړه خبره ده، نه د ټولنې۔

هغه څه وشمېرئ چې ټولنه یې شمېري، نه انټرفیس

د انټرفیس ټول بایټ، د ډشبورډ یوځای شوی تیریدونکی او د ټولنې خپل شمېرونکی درې بېلې شمېرې دي، او یوازې یوه له هغوی د حد سره پرتله کېږي۔ د ننوتلو او وتلو ټولنې د خپلو پېژندونکو سره بېلې ثبت کړئ، تر څو د یو لوري ته لاس ورکونکی کیلي بدلون د معما پرځای لوريیزه پېښه ښکاره شي۔ د ټولنې شمېرونکی هم د کیلي بدلون پر مهال بیا پیل کېږي، له همدې امله له انټرفیس څخه اخیستل شوی ټول زیاتېږي، خو مهم ارزښت بیا تنظیمېږي۔

حساب یو ځل کول ارزښت لري، تر څو د اندازې ترتیب خپله خوښه نه ښکاره شي۔ د یو ګیبیبایټ شمېرل شوی بودیجه چې په دقیقه کې په ثابت 128 میبیبایټ مصرفېږي، په اتو دقیقو کې ختمېږي، او دا د واحدونو بدلون دی، نه ستاسو د تونل اندازه کول۔ که پایله شوې شمېره د وخت حد څخه ډېره ښکته وي، حجم هغه میکانیزم دی او ساعت ګوري به وقفه تشریح نه کړي۔ که ډېره پورته وي، د بایټ حد ستاسو محرک نه دی او پلټنه بل ځای ته اړه لري۔

نرم او سخت حدونه دوه بېلې پېښې دي

نرم حد د سخت حد له خوا د ټولنې له پای ته رسولو ډېر مخکې بدلون غواړي، او پلي کونکي خپل حاشیې او تصادفي کول پر هغه څه زياتوي چې تاسو تنظیم کړي۔ له همدې امله مشاهده شوې وقفه نږدې هېڅکله ګردې شمېره نه وي۔ IPsec معماري عمرونه چې په وخت او بایټ شمېر بیان شوي د دوو ډولو حدونو سره تشریح کوي، او وړاندې پای ته رسېدنه حاکمه ده۔ که یو چاپ شوی عمر د مهالوېش په توګه ونیسئ، د حاشیې په اندازه به غلط شئ۔

اغېزمنه پالیسي له روان حالت څخه ولولئ، نه له فایل کې له یوې شمېرې څخه یې اټکل کړئ، ځکه حاشیه د پلي کونکي ده، نه ستاسو د نیت۔ د نښې د آرامولو لپاره د حدونو تر اعظمي حد پورې د کشولو هڅې سره مقابله وکړئ: هغه تونل چې د مهالوېش له مخې کیلي بدلوي، لکه څنګه چې ډیزاین شوی رفتار کوي، او اوږد عمر یوازې پېښه وروسته کوي او کمزوري شوې کیلي اوږد وخت کارول کېدونکې ساتي۔ کله چې بدلون پخپله ناکام شي، حد قاصد دی، نه ګناه۔

اغېزمن عمر له روان حالت څخه ولولئ

په strongSwan کې، swanctl --list-sas د ټولنې لنډیز د کیلي-بدلون او عمر وختونو سره چاپوي، نو هغه ارزښت چې ډیمون یې پلي کول غواړي پرته له اټکل څخه ښکاري۔ په Linux کوربه کې چې د ډیمون لید نلري، ip xfrm state تنظیم شوي نرم او سخت بایټ او پاکټ حدونه د اوسنیو شمېرونکو تر څنګ راپور کوي۔ هغه دوه لوستنې بېلو پوښتنو ته ځواب ورکوي او دواړه د ټیکټ کې ساتلو وړ دي۔

swanctl --list-sas
ip -s xfrm state

چاپ شوی نرم حد د هغه وقفې سره پرتله کړئ چې تاسو اندازه کړې، ځکه هغه بدلون چې د سخت حد لاندې حاشیې سره پیلېږي نورمال دی او هغه چې هېڅکله نه پیلېږي نه۔ که ډیمون یو عمر وښيي او د کرنل حالت بل، تاسو دوه ناسمګړي طبقې ګورئ، او دا پخپله موندنه ده۔

هغه تبادله وګورئ چې SA بدلوي

درې نویوالی بېل وساتئ، ځکه دوی په بېلو لارو ناکامېږي: د IKE SA کیلي بدلون نوی کنټرول ټولنه جوړوي، د CHILD SA کیلي بدلون د معلوماتو ټولنه بدلوي، او بیا تصدیق د هویت تبادله تکراروي۔ په IKEv2 کې هر همتا خپل عمرونه ټاکي پرته له دې چې پر یو شریک ارزښت باندي خبرې وکړي، نو هغه تبادله چې تاسو نه ده پیل کړې نورماله ده۔ په perfect forward secrecy کې ناسمګړتیا د نوي child SA د دقیقاً د کیلي-بدلون وقفې پر مهال د مړینې مکرر لامل دی، او تر هغه چې څوک وړاندیز ولولي، دقیقاً د ټایمر خرابۍ په څېر ښکاري۔

زاړه ټولنه د هغې جانشین او هغه تبادلې سره پرتله کړئ چې هغه یې جوړه کړه۔ د پېژندونکي ورکېدل معمولي بدلون دی؛ رد شوی وړاندیز، نه شته ځواب یا د کارېدونکي جانشین حالت نشتوالی بل مالک لرونکې بله پېښه ده۔ د هر څه د بدلولو مخکې هغه شاهدیت خوندي کړئ، ځکه د نسخې ځانګړي یادښتونه، د همتا وړاندیز او خبرې شوي عمرونه هغه څه دي چې قضیه یوه اونۍ وروسته، د لاګونو له تاوېدو وروسته هم لوستلو وړ کوي۔

پټولو پرځای نویوالی ثابت کړئ

ځای پرځای کول په دې سره ومنئ چې تاسو پلان کړې نویوالی تر تېرئ، نه هغه چې تاسو ته پېښېږي۔ په ساتنې کړکۍ کې یو ځل کیلي بدلون ته زور ورکړئ، بیا تایید کړئ چې وروسته دواړه لوري معلومات وړي او د اپلیکیشن پایله نه بدلېدلې، نه یوازې دا چې د تونل شاخص شین دی۔ ثبت کړئ کوم حد فعال شو او کومه تبادله پکې ښکېله وه۔

د دې بڼې نتیجه د کتنې په وړاندې ټینګه ده، خو هغه بدل شوی ټایمر ارزښت چې اړیکه یوه ماسپښین آرامه ښکاره کړه نه ټینګ دی۔ که یوازې ټایمر وخوځېد، شاهدیت هم ورسره وخوځېد۔