Spremljanje vmesnika tunela IPsec: kaj brati

Zasnova IPsec, ki temelji na poteh, namesti navidezni vmesnik in ta vmesnik spremljanju ponudi konkreten objekt: nekaj z imenom, števci in potjo, pritrjeno nanj. Sam po sebi ni signal zdravja. Vmesnik lahko obstaja, medtem ko ni nameščena nobena uporabna povezava, povezava pa je lahko zdrava, medtem ko nobena pot ne pošilja zanimivega prometa k njej. Prav skupno branje štirih stanj spremeni števec paketov v diagnozo.

Pojdite jih po vrsti in ustavite se pri prvem, ki spodleti.

Kaj vmesnik prinese v sliko

Pri zasnovi, ki temelji na pravilnikih, izbira živi v tabeli pravilnikov IPsec, jedro pa odloča, kaj je zaščiteno, na podlagi selektorjev prometa. Zasnova, ki temelji na poteh, doda vmesnik in pot, zato tcpdump in števci vmesnika vidijo eno mejo namesto niza selektorjev. To je resnična korist za diagnostiko in za usmerjevalne protokole, ki potrebujejo vmesnik za peering.

Korist je administrativna, ne kriptografska. Vmesnik poroča o prometu, ki ga prenaša, in ne pove nič o tem, ali je zaščita na strani partnerja trenutno uporabna.

Preberite štiri stanja, preden obtožite tunel

Začnite z vmesnikom in potjo, nato s povezavo, nato z aplikacijo. Vsako ima svoj ukaz in svoj podpis okvare. Čist rezultat na eni ravni ni čist rezultat na naslednji. Izvedite vse štiri, preden sklepate. Ena zelena vrstica redko kaj razreši.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Vmesnik z naraščajočim števcem, a brez ustreznega vnosa stanja, opisuje promet, ki vstopa na pot, kjer ga nič ne ščiti, kar je slabše kot tunel, ki je preprosto padel. Vnos stanja brez poti, ki bi izbrala vmesnik, pomeni, da je kriptografija pripravljena in neuporabljena.

Test aplikacije pride zadnji in namerno: uspešen ping na drugo stran tunela ne dokaže, da storitev za njim sprejema povezave.

Primerjajte notranje števce z zunanjimi

Števci na vmesniku tunela merijo notranji promet; števci in zajemi na fizičnem vmesniku kažejo inkapsulirano izmenjavo. Ta dva se ne bosta ujemala ena na ena, ker inkapsulacija doda glave, ponovni prenosi podvojijo nekatere pakete, obračunavanje izvedbe pa sledi svojim pravilom. Pričakujte razmerje, ne enakosti.

Mesto zajema odloča tudi, katere zasebne podatke zbirate, zato uporabite ozke filtre in neškodljiv testni naslov namesto celotnega zajema produkcijskega prometa.

Če notranji števci rastejo, zunanji pa ne, je manjkajoči korak običajno pot ali pravilnik, ki pošilja pakete v tunel, ne tunel sam.

Opazujte to med obnovo ključev in preklopom

Opazujte obnovo ključev, dogodek zaznave mrtvega partnerja in preklop povezave, medtem ko spremljate ista štiri stanja. Vmesnik lahko ostane prisoten med obnovo ključev, ki se nikoli ne konča, preklop pa lahko pusti vnos stanja, ki kaže na naslov partnerja, ki ni več dosegljiv.

Alarmirajte na poti storitve, od katere resnično odvisite, s stanjem povezave kot kontekstom, ne pa na eno samo zastavico gor ali dol. Ohranite ime vmesnika, naslov partnerja in pot v vsebini alarma, da jih tisti, ki se odziva, ne bo moral znova sestavljati.

strongSwan dokumentira svoj model vmesnika XFRM, druge platforme pa enakovredni objekt poimenujejo in izvajajo drugače. Preberite primerjavo, ki temelji na poteh, za napravo pred vami, preden prenesete predpostavke iz druge izvedbe. Predloga za spremljanje, ki ustreza števcem enega ponudnika, bo pri drugem tiho zavajala.