Зашто заузет IPsec тунел рано мења кључеве: временска и волуменска ограничења

Отприлике сваких педесет минута тунел на заузетом линку пада на неколико секунди, а први осумњичени је сат. Асоцијације могу да се заврше на временском ограничењу или на броју бајтова, и која граница прва стигне, она их пензионише. На линку који носи прави саобраћај, волуменско ограничење може да се активира много пре него што истекне конфигурисани сат. Дакле, „прерано“ је изјава о сату, не о асоцијацији.

Бројте оно што броји асоцијација, не интерфејс

Укупан број бајтова на интерфејсу, комбиновани проток на контролној табли и сопствени бројач асоцијације су три одвојена броја, и само један од њих се пореди са ограничењем. Запишите долазну и одлазну асоцијацију одвојено са њиховим идентификаторима, да се промена кључева која дотиче један смер појави као смерни догађај, а не као загонетка. Бројач асоцијације такође почиње изнова при промени кључева, зато укупан износ узет са интерфејса расте, док се вредност која је важна ресетује.

Прорачун вреди урадити једном, да ред величине престане да изгледа произвољан. Израчунати буџет од једног гибибајта који се троши сталном брзином од 128 мебибајта у минути исцрпљује се за осам минута, и то је претварање јединица, не мерење вашег тунела. Ако добијени број стоји далеко испод временског ограничења, механизам је волумен и никакво гледање у сат неће објаснити интервал. Ако стоји далеко изнад њега, ограничење бајтова није ваш окидач и претрага припада неком другом месту.

Меки и тврди праг су два различита догађаја

Меки праг тражи замену много пре него што тврдо ограничење заврши асоцијацију, а имплементације додају своје марже и случајност преко онога што сте конфигурисали. Зато посматрани интервал скоро никада није округао број. IPsec архитектура описује животне векове изражене у времену и броју бајтова са две врсте прагова, и ранији истек је меродаван. Ако један одштампани животни век третирате као распоред, погрешићете за износ марже.

Читајте ефективну политику из радног стања уместо да је изводите из броја у датотеци, јер маржа припада имплементацији, не вашој намери. Одуприте се искушењу да растегнете ограничења до њиховог максимума да утишате симптом: тунел који мења кључеве по распореду понаша се како је пројектован, а дужи животни век само одлаже догађај држаћи компромитован кључ дуже употребљивим. Када сама замена не успе, ограничење је гласник, а не кривица.

Читајте ефективни животни век из радног стања

На strongSwan-у swanctl --list-sas исписује сажетак асоцијације са временима промене кључева и живота, па је вредност коју демон намерава да спроведе видљива без нагађања. На Linux домаћину без погледа демона ip xfrm state пријављује конфигурисана мека и тврда ограничења бајтова и пакета поред тренутних бројача. Та два очитавања одговарају на различита питања и оба вреди сачувати у тикету.

swanctl --list-sas
ip -s xfrm state

Упоредите одштампани меки праг са интервалом који сте измерили, јер је замена која почиње са маржом испод тврдог ограничења нормална, а она која никада не почиње није. Ако демон показује један животни век, а стање језгра други, гледате у два слоја која се не слажу, и то је само по себи налаз.

Пратите размену која замењује SA

Држите три обнове одвојено, јер они не успевају на различите начине: промена кључева IKE SA гради нову контролну асоцијацију, промена кључева CHILD SA замењује податковну асоцијацију, а поновна аутентификација понавља размену идентитета. У IKEv2 свака страна одлучује о сопственим животним вековима уместо да преговара о једној заједничкој вредности, па је размена коју нисте покренули уобичајена. Неслагање perfect forward secrecy чест је разлог да нова child SA умре тачно на интервалу промене кључева, и изгледа тачно као квар тајмера док неко не прочита предлог.

Упоредите стару асоцијацију са њеном наследницом и са разменом која ју је створила. Нестанак идентификатора је рутинска замена; одбијен предлог, одсутан одговор или недостатак употребљивог стања наследника је други догађај са другим власником. Сачувајте те доказе пре него што било шта промените, јер су белешке специфичне за верзију, предлог друге стране и преговарани животни векови оно што чини случај читљивим недељу дана касније, после ротације логова.

Докажите обнову уместо да је кријете

Прихватите увођење пролазећи кроз обнову коју сте планирали, а не кроз ону која вам се дешава. Присилите једну промену кључева унутар прозора за одржавање, затим потврдите да оба смера након тога носе податке и да је резултат апликације непромењен, а не само да је индикатор тунела зелен. Запишите које ограничење се активирало и која размена је била укључена.

Закључак таквог облика пролази проверу, а измењена вредност тајмера која је учинила везу тихом једно поподне не пролази. Ако се померио само тајмер, докази су се померили са њим.