Pse një tunel IPsec i zënë i rinovon çelësat herët: kufijtë e kohës dhe të volumit

Përafërsisht çdo pesëdhjetë minuta, një tunel në një lidhje të zënë bie për disa sekonda, dhe i dyshuari i parë është ora. Shoqatat mund të përfundojnë me një kufi kohe ose me një numërim bajtësh, dhe cili kufi vjen i pari është ai që i jep pension. Në një lidhje që mbart trafik të vërtetë, një kufi volumi mund të aktivizohet shumë përpara se të mbarojë ora e konfiguruar. Pra «shumë herët» është një pohim për orën, jo për shoqatën.

Numëroni atë që numëron shoqata, jo ndërfaqen

Totali i bajtëve i një ndërfaqeje, xhiroja e kombinuar e një paneli dhe numëruesi vetë i shoqatës janë tre numra të veçantë, dhe vetëm njëri prej tyre krahasohet me kufirin. Regjistroni shoqatën hyrëse dhe atë dalëse veçmas me identifikuesit e tyre, që një ndryshim çelësash që prek një drejtim të shfaqet si ngjarje drejtimore dhe jo si enigmë. Numëruesi i shoqatës gjithashtu rifillon në ndryshimin e çelësave, prandaj një total i marrë nga ndërfaqja rritet ndërsa vlera që ka rëndësi rivendoset.

Llogaritja ia vlen të bëhet një herë, që rendi i madhësisë të mos duket arbitrar. Një buxhet i numëruar prej një gibibajti që shpenzohet me një ritëm konstant 128 mebibajt në minutë shterrohet për tetë minuta, dhe ky është një konvertim njësish, jo një matje e tunelit tuaj. Nëse shifra që rezulton qëndron shumë nën kufirin e kohës, volumi është mekanizmi dhe asnjë vëzhgim i orës nuk do ta shpjegojë intervalin. Nëse qëndron shumë mbi të, kufiri i bajtëve nuk është nxitësi juaj dhe kërkimi i përket diku tjetër.

Pragu i butë dhe i fortë janë dy ngjarje të ndryshme

Një prag i butë kërkon një zëvendësim shumë përpara se kufiri i fortë ta mbyllë shoqatën, dhe implementimet shtojnë margjinat dhe rastësimin e tyre sipër asaj që keni konfiguruar. Prandaj intervali i vëzhguar pothuajse kurrë nuk është numër i rrumbullakët. arkitektura IPsec përshkruan jetëgjatësi të shprehura në kohë dhe numërim bajtësh me dy llojet e pragut, dhe skadimi më i hershëm është ai që vendos. Nëse e trajtoni një jetëgjatësi të shtypur si orar, do të gaboni për madhësinë e margjinës.

Lexoni politikën efektive nga gjendja e punës në vend që ta nxirrni nga një numër në një skedar, sepse margjina i përket implementimit, jo qëllimit tuaj. Kundërshtoni tundimin për t'i zgjatur kufijtë drejt maksimumit të tyre për të heshtur simptomën: një tunel që ndryshon çelësat sipas orarit sillet siç është projektuar, dhe një jetëgjatësi më e gjatë vetëm e shtyn ngjarjen duke e mbajtur një çelës të komprometuar të përdorshëm më gjatë. Kur dështon vetë zëvendësimi, kufiri është lajmëtari dhe jo faji.

Lexoni jetëgjatësinë efektive nga gjendja e punës

Në strongSwan, swanctl --list-sas shtyp përmbledhjen e shoqatës me kohët e ndryshimit të çelësave dhe të jetës, kështu që vlera që daemoni synon të zbatojë shihet pa hamendësuar. Në një host Linux pa pamje të daemonit, ip xfrm state raporton kufijtë e butë dhe të fortë të bajtëve dhe paketave të konfiguruar pranë numëruesve aktualë. Këto dy lexime i përgjigjen pyetjeve të ndryshme dhe të dyja meritojnë të mbeten në biletë.

swanctl --list-sas
ip -s xfrm state

Krahasoni pragun e butë të shtypur me intervalin që keni matur, sepse një zëvendësim që fillon me një margjinë nën kufirin e fortë është normal dhe një që nuk fillon kurrë nuk është. Nëse daemoni tregon një jetëgjatësi dhe gjendja e kernelit një tjetër, po shikoni dy shtresa që nuk bien dakord, dhe kjo në vetvete është gjetja.

Vëzhgoni shkëmbimin që zëvendëson SA-në

Mbani tre rinovimet veçmas, sepse ato dështojnë në mënyra të ndryshme: një ndryshim çelësash i IKE SA ndërton një shoqatë të re kontrolli, një ndryshim çelësash i CHILD SA zëvendëson shoqatën e të dhënave, dhe riautentikimi përsërit shkëmbimin e identitetit. Në IKEv2 secili palë vendos jetëgjatësitë e veta në vend që të negociojë një vlerë të përbashkët, prandaj një shkëmbim që nuk e keni nisur është i zakonshëm. Një mospërputhje e perfect forward secrecy është një shkak i shpeshtë që një child SA e re të vdesë pikërisht në intervalin e ndryshimit të çelësave, dhe duket saktësisht si një defekt kohëmatësi derisa dikush të lexojë propozimin.

Krahasoni shoqatën e vjetër me pasardhësen e saj dhe me shkëmbimin që e prodhoi. Zhdukja e një identifikuesi është zëvendësim rutinë; një propozim i refuzuar, një përgjigje që mungon ose mungesa e një gjendjeje të përdorshme pasardhëse është një ngjarje tjetër me një pronar tjetër. Ruani ato prova përpara se të ndryshoni çdo gjë, sepse shënimet specifike për versionin, propozimi i palës tjetër dhe jetëgjatësitë e negociuara janë ato që e bëjnë rastin të lexueshëm një javë më vonë, pasi regjistrat të jenë rrotulluar.

Provoni rinovimin në vend që ta fshihni

Pranoni vendosjen duke kaluar nëpër një rinovim që keni planifikuar dhe jo nëpër një që ju ndodh. Detyroni një ndryshim të vetëm çelësash brenda një dritareje mirëmbajtjeje, pastaj konfirmoni që të dy drejtimet mbartin të dhëna më pas dhe që rezultati i aplikacionit është i pandryshuar, jo vetëm që treguesi i tunelit është i gjelbër. Regjistroni cili kufi u aktivizua dhe cili shkëmbim ishte i përfshirë.

Një përfundim i atij lloji i reziston shqyrtimit, ndërsa një vlerë kohëmatësi e ndryshuar që e bëri lidhjen të duket e qetë për një pasdite nuk i reziston. Nëse lëvizi vetëm kohëmatësi, provat lëvizën bashkë me të.