Zakaj zaseden tunel IPsec zgodaj obnovi ključe: časovne in prostorninske omejitve

Približno vsakih petdeset minut tunel na zasedeni povezavi pade za nekaj sekund, in prvi osumljenec je ura. Asociacije se lahko končajo s časovno omejitvijo ali s štetjem bajtov, in katera meja pride prva, ta jih pošlje v pokoj. Na povezavi, ki prenaša resničen promet, se lahko prostorninska omejitev sproži veliko prej, preden se nastavljena ura izteče. Zato je »prezgodaj« trditev o uri, ne o asociaciji.

Štejte tisto, kar šteje asociacija, ne vmesnika

Skupno število bajtov vmesnika, skupna prepustnost nadzorne plošče in lastni števec asociacije so tri ločena števila, in le eno od njih se primerja z omejitvijo. Zapisujte dohodno in odhodno asociacijo ločeno z njunimi identifikatorji, da se menjava ključev, ki se dotakne ene smeri, pokaže kot smerni dogodek, ne kot uganka. Števec asociacije se ob menjavi ključev prav tako začne znova, zato skupna vrednost, vzeta z vmesnika, raste, medtem ko se vrednost, ki šteje, ponastavi.

Izračun je vreden enkratnega truda, da velikostni red neha delovati poljubno. Šteti proračun enega gibibajta, ki se porablja z enakomernimi 128 mebibajti na minuto, se porabi v osmih minutah, in to je pretvorba enot, ne meritev vašega tunela. Če je dobljeno število veliko pod časovno omejitvijo, je mehanizem prostornina in nobeno opazovanje ure ne bo pojasnilo intervala. Če je veliko nad njo, omejitev bajtov ni vaš sprožilec in iskanje sodi drugam.

Mehki in trdi prag sta dva različna dogodka

Mehki prag zahteva zamenjavo veliko prej, preden trda omejitev konča asociacijo, in izvedbe dodajo svoje lastne rezerve in naključnost na vrh tega, kar ste nastavili. Zato opaženi interval skoraj nikoli ni okroglo število. arhitektura IPsec opisuje življenjske dobe, izražene v času in štetju bajtov, z dvema vrstama pragov, in velja zgodnejši iztek. Če eno natisnjeno življenjsko dobo obravnavate kot urnik, se boste zmotili za velikost rezerve.

Preberite dejansko politiko iz tekočega stanja, namesto da bi jo sklepali iz števila v datoteki, ker rezerva pripada izvedbi, ne vašemu namenu. Uprite se skušnjavi, da bi omejitve raztegnili do njihovega maksimuma, da bi utišali simptom: tunel, ki menja ključe po urniku, se obnaša tako, kot je zasnovan, daljša življenjska doba pa dogodek le odloži, medtem ko ohranja kompromitiran ključ dlje uporaben. Ko sama zamenjava ne uspe, je omejitev glasnik, ne krivda.

Preberite dejansko življenjsko dobo iz tekočega stanja

Na strongSwan swanctl --list-sas izpiše povzetek asociacije z njenimi časi menjave ključev in življenjske dobe, zato je vrednost, ki jo demon namerava uveljaviti, vidna brez ugibanja. Na gostitelju Linux brez pogleda demona ip xfrm state poroča o nastavljenih mehkih in trdih omejitvah bajtov in paketov ob trenutnih števcih. Ta dva odčitka odgovarjata na različna vprašanja in oba je vredno obdržati v zahtevku.

swanctl --list-sas
ip -s xfrm state

Primerjajte natisnjeni mehki prag z intervalom, ki ste ga izmerili, ker je zamenjava, ki se začne z rezervo pod trdo omejitvijo, običajna, in tista, ki se nikoli ne začne, ni. Če demon kaže eno življenjsko dobo, stanje jedra pa drugo, gledate dva neskladna sloja, in to je samo po sebi ugotovitev.

Opazujte izmenjavo, ki zamenja SA

Držite tri obnovitve ločene, ker spodletijo na različne načine: menjava ključev IKE SA zgradi novo krmilno asociacijo, menjava ključev CHILD SA zamenja podatkovno asociacijo, ponovna overitev pa ponovi izmenjavo identitete. V IKEv2 vsaka stran odloča o svojih življenjskih dobah, namesto da bi se pogajala o eni skupni vrednosti, zato je izmenjava, ki je niste začeli, običajna. Neskladje perfect forward secrecy je pogost razlog, da nova child SA umre točno v intervalu menjave ključev, in izgleda natanko kot okvara časovnika, dokler nekdo ne prebere predloga.

Primerjajte staro asociacijo z njeno naslednico in z izmenjavo, ki jo je ustvarila. Izginotje identifikatorja je rutinska zamenjava; zavrnjen predlog, manjkajoč odgovor ali odsotnost uporabnega stanja naslednika je drug dogodek z drugim lastnikom. Ohranite te dokaze, preden karkoli spremenite, ker so opombe, specifične za različico, predlog partnerja in izpogajane življenjske dobe tisto, kar naredi primer berljiv teden pozneje, potem ko so se dnevniki zavrteli.

Dokažite obnovitev, namesto da bi jo skrivali

Sprejmite uvedbo tako, da greste skozi obnovitev, ki ste jo načrtovali, in ne skozi tisto, ki se zgodi z vami. Vzpostavite eno menjavo ključev znotraj vzdrževalnega okna, nato potrdite, da obe smeri nato prenašata podatke in da je rezultat aplikacije nespremenjen, ne le da je indikator tunela zelen. Zapišite, katera omejitev se je sprožila in katera izmenjava je bila vpletena.

Sklep takšne oblike zdrži pregled, medtem ko spremenjena vrednost časovnika, zaradi katere je bila povezava popoldne videti tiha, ne zdrži. Če se je premaknil le časovnik, so se dokazi premaknili z njim.