Monitorimi i ndërfaqes së tunelit IPsec: çfarë të lexohet

Një dizajn IPsec i bazuar në rrugë instalon një ndërfaqe virtuale, dhe ajo ndërfaqe i jep monitorimit një objekt konkret: diçka me emër, numërues dhe një rrugë të lidhur me të. Nuk është në vetvete sinjal shëndeti. Ndërfaqja mund të ekzistojë ndërkohë që nuk është instaluar asnjë shoqatë e përdorshme, dhe një shoqatë mund të jetë e shëndetshme ndërkohë që asnjë rrugë nuk e drejton trafikun interesant drejt saj. Leximi i katër gjendjeve së bashku është ai që e kthen një numërues paketash në diagnozë.

Kaloji me radhë dhe ndalu tek e para që dështon.

Çfarë i shton ndërfaqja pamjes

Në një dizajn të bazuar në politika, zgjedhja jeton në tabelën e politikave IPsec dhe kernel-i vendos çfarë mbrohet bazuar në përzgjedhësit e trafikut. Një dizajn i bazuar në rrugë shton një ndërfaqe dhe një rrugë, kështu që tcpdump dhe numëruesit e ndërfaqes shohin një kufi të vetëm në vend të një grupi përzgjedhësish. Ky është një përfitim i vërtetë për diagnozën dhe për protokollet e rrugëzimit që kanë nevojë për një ndërfaqe për peering.

Përfitimi është administrativ, jo kriptografik. Ndërfaqja raporton trafikun që mban dhe nuk thotë asgjë për atë nëse mbrojtja e palës tjetër është e përdorshme tani.

Lexo katër gjendjet përpara se të fajësosh tunelin

Filloni me ndërfaqen dhe rrugën, pastaj shoqatën, pastaj aplikacionin. Secili ka komandën e vet dhe nënshkrimin e vet të dështimit. Një rezultat i pastër në një shtresë nuk është rezultat i pastër në shtresën tjetër. Ekzekutoni të katërt përpara se të nxirrni përfundim. Një rresht i gjelbër rrallë zgjidh diçka.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Një ndërfaqe me numërues në rritje por pa një zë gjendjeje që përputhet përshkruan trafik që hyn në një rrugë ku asgjë nuk e mbron, dhe kjo është më keq se një tunel thjesht i rënë. Një zë gjendjeje pa një rrugë që zgjedh ndërfaqen do të thotë që kriptografia është gati dhe e papërdorur.

Testi i aplikacionit vjen i fundit dhe qëllimisht: një ping i suksesshëm në anën tjetër të tunelit nuk provon që shërbimi pas tij pranon lidhje.

Krahaso numëruesit e brendshëm me ata të jashtëm

Numëruesit në ndërfaqen e tunelit matin trafikun e brendshëm; numëruesit dhe kapjet në ndërfaqen fizike tregojnë shkëmbimin e inkapsuluar. Të dy nuk do të përputhen një për një, sepse inkapsulimi shton kokë, ritransmetimet dublojnë disa paketa dhe kontabiliteti i implementimit ndjek rregullat e veta. Pritni një raport, jo barazi.

Vendndodhja e kapjes përcakton gjithashtu çfarë të dhënash private mblidhni, prandaj përdorni filtra të ngushtë dhe një adresë testimi të padëmshme në vend të një kapjeje të plotë të trafikut të prodhimit.

Nëse numërimet e brendshme rriten dhe ato të jashtme jo, hapi që mungon është zakonisht rruga ose politika që i dërgon paketat në tunel, jo vetë tuneli.

Ndjiqe përgjatë rinovimit të çelësave dhe kalimit rezervë

Vëzhgo një rinovim çelësash, një ngjarje zbulimi të partnerit të vdekur dhe një kalim rezervë të lidhjes ndërsa mbani nën vëzhgim të njëjtat katër gjendje. Ndërfaqja mund të mbetet e pranishme gjatë një rinovimi çelësash që nuk përfundon kurrë, dhe një kalim rezervë mund të lërë një zë gjendjeje që tregon drejt një adrese partneri që nuk arrihet më.

Alarmo në rrugën e shërbimit nga e cila vareni vërtet, me gjendjen e shoqatës si kontekst, jo në një flamur të vetëm lart ose poshtë. Mbaj emrin e ndërfaqes, adresën e partnerit dhe rrugën në ngarkesën e alarmit, që përgjigjësi të mos i rindërtojë ato.

strongSwan dokumenton modelin e vet të ndërfaqes XFRM, dhe platformat e tjera e emërtojnë dhe e zbatojnë ndryshe objektin ekuivalent. Lexo krahasimin e bazuar në rrugë për pajisjen përpara jush përpara se të transferoni supozime nga një implementim tjetër. Një shabllon monitorimi që përshtatet me numëruesit e një furnizuesi do të mashtrojë në heshtje në një tjetër.