Ufuatiliaji wa kiolesura cha handaki la IPsec: nini cha kusoma

Muundo wa IPsec unaotegemea njia husakinisha kiolesura pepe, na kiolesura hicho kinampa ufuatiliaji kitu halisi: kitu chenye jina, vihesabu na njia iliyounganishwa nacho. Siyo ishara ya afya yenyewe. Kiolesura kinaweza kuwepo wakati hakuna muunganisho wowote unaoweza kutumika umesakinishwa, na muunganisho unaweza kuwa mzima wakati hakuna njia inayotuma trafiki inayovutia kuelekea kwake. Kusoma hali nne pamoja ndiko kunageuza kihesabu cha pakiti kuwa utambuzi.

Zifanyie kazi kwa mpangilio na usimame kwenye ile ya kwanza inayoshindikana.

Kiolesura kinaongeza nini kwenye picha

Katika muundo unaotegemea sera, uteuzi unaishi katika jedwali la sera za IPsec na kerneli huamua kinacholindwa kwa kuzingatia vichaguzi vya trafiki. Muundo unaotegemea njia unaongeza kiolesura na njia, hivyo tcpdump na vihesabu vya kiolesura huona mpaka mmoja badala ya seti ya vichaguzi. Hii ni faida halisi kwa utambuzi na kwa itifaki za uelekezaji zinazohitaji kiolesura cha kufanya peering juu yake.

Faida ni ya kiutawala, si ya kriptografia. Kiolesura huripoti trafiki inayobeba na hakisemi chochote kuhusu kama ulinzi wa mwenzake unaweza kutumika kwa sasa.

Soma hali nne kabla ya kulaumu handaki

Anza na kiolesura na njia, kisha muunganisho, kisha programu. Kila kimoja kina amri yake na saini yake ya kushindikana. Matokeo safi kwenye tabaka moja si matokeo safi kwenye linalofuata. Endesha zote nne kabla ya kufikia hitimisho. Mstari mmoja wa kijani mara chache huamua kitu.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Kiolesura chenye kihesabu kinachopanda lakini hakina ingizo la hali linalolingana kinaelezea trafiki inayoingia kwenye njia ambako hakuna kinachoilinda, na hiyo ni mbaya kuliko handaki lililozimwa tu. Ingizo la hali lisilo na njia inayochagua kiolesura linamaanisha kriptografia iko tayari na haitumiwi.

Jaribio la programu linakuja mwisho na kwa makusudi: ping iliyofanikiwa kuelekea upande wa pili wa handaki haithibitishi kuwa huduma iliyo nyuma yake inakubali miunganisho.

Linganisha vihesabu vya ndani na vya nje

Vihesabu kwenye kiolesura cha handaki hupima trafiki ya ndani; vihesabu na nakala kwenye kiolesura halisi zinaonyesha mabadilishano yaliyofungwa. Hivi viwili havitalingana kimoja kwa kimoja, kwa sababu ufungaji huongeza vichwa, utumaji upya hunakili baadhi ya pakiti na uhasibu wa utekelezaji hufuata kanuni zake. Tarajia uwiano, si usawa.

Mahali pa nakala pia huamua ni data gani ya faragha unayokusanya, kwa hivyo tumia vichujio vyembamba na anwani ya jaribio isiyo na madhara badala ya nakala kamili ya trafiki ya uzalishaji.

Ikiwa hesabu za ndani zinapanda na za nje hazipandi, hatua inayokosekana kwa kawaida ni njia au sera inayotuma pakiti kwenye handaki, si handaki lenyewe.

Ifuatilie kupitia uanzishaji upya wa funguo na uhamishaji

Angalia uanzishaji upya wa funguo, tukio la kutambua mwenza aliyekufa na uhamishaji wa kiungo wakati ukifuatilia hali zile zile nne. Kiolesura kinaweza kubaki kipo wakati wa uanzishaji upya wa funguo ambao haukamiliki kamwe, na uhamishaji unaweza kuacha ingizo la hali likielekeza kwenye anwani ya mwenza isiyoweza kufikiwa tena.

Toa tahadhari kwenye njia ya huduma unayoitumaini kweli, ukitumia hali ya muunganisho kama muktadha, si kwenye bendera moja ya juu au chini. Weka jina la kiolesura, anwani ya mwenza na njia kwenye mzigo wa tahadhari, ili anayejibu asilazimike kuzijenga upya.

strongSwan huandika mfumo wake wa kiolesura cha XFRM, na majukwaa mengine huita na kutekeleza kitu sawa kwa namna tofauti. Soma ulinganisho unaotegemea njia kwa kifaa kilicho mbele yako kabla ya kuhamisha dhana kutoka utekelezaji mwingine. Kiolezo cha ufuatiliaji kinacholingana na vihesabu vya msambazaji mmoja kitapotosha kwa utulivu kwa mwingine.