Надгледање интерфејса IPsec тунела: шта читати

Дизајн IPsec-а заснован на рутама инсталира виртуелни интерфејс, и тај интерфејс даје надгледању конкретан објекат: нешто са именом, бројачима и рутом прикаченом уз њега. Он сам по себи није сигнал здравља. Интерфејс може постојати док није инсталирана ниједна употребљива асоцијација, а асоцијација може бити здрава док ниједна рута не шаље ка њој занимљив саобраћај. Управо заједничко читање четири стања претвара бројач пакета у дијагнозу.

Прођите их редом и зауставите се на првом који не прође.

Шта интерфејс додаје слици

У дизајну заснованом на политикама, избор живи у табели IPsec политика и језгро одлучује шта се штити на основу селектора саобраћаја. Дизајн заснован на рутама додаје интерфејс и руту, тако да tcpdump и бројачи интерфејса виде једну границу уместо скупа селектора. То је стварна корист за дијагностику и за протоколе рутирања којима је потребан интерфејс за пееринг.

Корист је административна, не криптографска. Интерфејс извештава о саобраћају који носи и не говори ништа о томе да ли је заштита са стране партнера тренутно употребљива.

Прочитајте четири стања пре него што окривите тунел

Почните од интерфејса и руте, затим од асоцијације, затим од апликације. Свако има своју команду и свој потпис отказа. Чист резултат на једном нивоу није чист резултат на следећем. Извршите сва четири пре него што донесете закључак. Један зелени ред ретко шта решава.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Интерфејс са бројачем који расте, али без одговарајућег уноса стања, описује саобраћај који улази на путању где га ништа не штити, а то је горе од тунела који је једноставно пао. Унос стања без руте која бира интерфејс значи да је криптографија спремна и неискоришћена.

Тест апликације долази последњи и намерно: успешан ping на супротну страну тунела не доказује да услуга иза њега прихвата везе.

Упоредите унутрашње бројаче са спољашњим

Бројачи на интерфејсу тунела мере унутрашњи саобраћај; бројачи и снимци на физичком интерфејсу показују инкапсулирану размену. Њих двоје се неће поклопити један на један, јер инкапсулација додаје заглавља, поновна слања дуплирају неке пакете, а обрачун имплементације следи сопствена правила. Очекујте однос, а не једнакост.

Место снимања такође одређује које приватне податке прикупљате, зато користите уске филтере и безопасну тест адресу уместо потпуног снимка продукционог саобраћаја.

Ако унутрашњи бројачи расту, а спољашњи не, корак који недостаје обично је рута или политика која шаље пакете у тунел, а не сам тунел.

Посматрајте то кроз обнову кључева и пребацивање

Посматрајте обнову кључева, догађај откривања мртвог партнера и пребацивање везе док пратите иста четири стања. Интерфејс може остати присутан током обнове кључева која се никада не заврши, а пребацивање може оставити унос стања који показује на адресу партнера која више није доступна.

Алармирајте на сервисну путању од које заиста зависите, са стањем асоцијације као контекстом, а не на један статус горе или доле. Задржите име интерфејса, адресу партнера и руту у садржају аларма, како онај који реагује не би морао да их реконструише.

strongSwan документује сопствени модел XFRM интерфејса, а друге платформе другачије именују и имплементирају еквивалентни објекат. Прочитајте поређење засновано на рутама за уређај пред вама пре него што пренесете претпоставке из друге имплементације. Шаблон надгледања који одговара бројачима једног добављача тихо ће навести на погрешан пут код другог.