பரபரப்பான IPsec சுரங்கப்பாதை ஏன் முன்னதாகவே விசைகளை மாற்றுகிறது: நேரம் மற்றும் அளவு வரம்புகள்

சுமார் ஒவ்வொரு ஐம்பது நிமிடத்திற்கும் பரபரப்பான இணைப்பில் உள்ள சுரங்கப்பாதை சில வினாடிகளுக்கு விழுகிறது, முதல் சந்தேக நபர் கடிகாரம். சங்கங்கள் நேர வரம்பிலோ பைட் எண்ணிக்கையிலோ முடியலாம், எந்த எல்லை முதலில் வருகிறதோ அதுவே அவற்றை ஓய்வூதியத்திற்கு அனுப்புகிறது. உண்மையான போக்குவரத்தை எடுத்துச் செல்லும் இணைப்பில், அளவு வரம்பு அமைக்கப்பட்ட மணிநேரம் முடிவதற்கு நெடுநேரம் முன்பே செயல்படலாம். எனவே «மிக முன்னதாக» என்பது கடிகாரத்தைப் பற்றிய கூற்று, சங்கத்தைப் பற்றியது அல்ல.

இடைமுகத்தை அல்ல, சங்கம் எண்ணுவதை எண்ணுங்கள்

இடைமுகத்தின் மொத்த பைட், டாஷ்போர்டின் ஒருங்கிணைந்த செயல்திறன் மற்றும் சங்கத்தின் சொந்த எண்ணி ஆகியவை மூன்று தனித்தனி எண்கள், அவற்றில் ஒன்று மட்டுமே வரம்புடன் ஒப்பிடப்படுகிறது. உள்வரும் மற்றும் வெளிச்செல்லும் சங்கங்களை அவற்றின் அடையாளங்களுடன் தனித்தனியாகப் பதிவு செய்யுங்கள், அப்போது ஒரு திசையைத் தொடும் விசை மாற்றம் புதிராக அல்ல, திசை சார்ந்த நிகழ்வாகத் தெரியும். சங்கத்தின் எண்ணியும் விசை மாற்றத்தில் மீண்டும் தொடங்குகிறது, அதனால் இடைமுகத்திலிருந்து எடுக்கப்பட்ட மொத்தம் வளரும் அதே வேளையில் முக்கியமான மதிப்பு மீட்டமைக்கப்படுகிறது.

கணக்கை ஒருமுறை செய்வது மதிப்புள்ளது, அதனால் அளவின் வரிசை தன்னிச்சையாகத் தோன்றுவது நிற்கும். நிமிடத்திற்கு நிலையான 128 மெபிபைட் விகிதத்தில் செலவழிக்கப்படும் ஒரு கிபிபைட் எண்ணப்பட்ட பட்ஜெட் எட்டு நிமிடங்களில் தீர்ந்துவிடும், அது அலகு மாற்றம், உங்கள் சுரங்கப்பாதையின் அளவீடு அல்ல. விளைந்த எண் நேர வரம்பை விட மிகக் குறைவாக இருந்தால், அளவே இயங்குமுறை, கடிகாரத்தைப் பார்ப்பதால் இடைவெளி விளங்காது. அது மிக அதிகமாக இருந்தால், பைட் வரம்பு உங்கள் தூண்டுதலல்ல, தேடல் வேறெங்கோ உள்ளது.

மென்மையான மற்றும் கடினமான வரம்புகள் இரண்டு வேறுபட்ட நிகழ்வுகள்

கடினமான வரம்பு சங்கத்தை முடிப்பதற்கு நெடுநேரம் முன்பே மென்மையான வரம்பு மாற்றீட்டைக் கேட்கிறது, செயலாக்கங்கள் நீங்கள் அமைத்ததன் மேல் தங்கள் விளிம்புகளையும் சீரற்றமையையும் சேர்க்கின்றன. அதனால் கவனிக்கப்பட்ட இடைவெளி கிட்டத்தட்ட ஒருபோதும் வட்ட எண்ணாக இருப்பதில்லை. IPsec கட்டமைப்பு நேரம் மற்றும் பைட் எண்ணிக்கையில் வெளிப்படுத்தப்பட்ட ஆயுட்காலங்களை இரண்டு வகை வரம்புகளுடன் விவரிக்கிறது, முன்னதாக முடிவதே பொருந்தும். ஒரு அச்சிடப்பட்ட ஆயுட்காலத்தை அட்டவணையாகக் கருதினால் விளிம்பின் அளவுக்குத் தவறாகும்.

பயனுள்ள கொள்கையை கோப்பில் உள்ள எண்ணிலிருந்து ஊகிக்காமல் இயங்கும் நிலையிலிருந்து படியுங்கள், ஏனெனில் விளிம்பு செயலாக்கத்திற்குரியது, உங்கள் நோக்கத்திற்கல்ல. அறிகுறியை அமைதிப்படுத்த வரம்புகளை அவற்றின் உச்சத்திற்கு நீட்டும் சோதனையை எதிர்கொள்ளுங்கள்: அட்டவணைப்படி விசைகளை மாற்றும் சுரங்கப்பாதை வடிவமைக்கப்பட்டபடி செயல்படுகிறது, நீண்ட ஆயுட்காலம் நிகழ்வை ஒத்திவைக்கிறது மட்டுமே, சமரசம் செய்யப்பட்ட விசையை நீண்ட நேரம் பயன்படுத்தக்கூடியதாக வைத்திருக்கிறது. மாற்றீடே தோல்வியடையும்போது, வரம்பு தூதர், குற்றம் அல்ல.

இயங்கும் நிலையிலிருந்து பயனுள்ள ஆயுட்காலத்தைப் படியுங்கள்

strongSwan-இல், swanctl --list-sas சங்கத்தின் சுருக்கத்தை அதன் விசை-மாற்றம் மற்றும் ஆயுள் நேரங்களுடன் அச்சிடுகிறது, எனவே டீமன் அமல்படுத்த விரும்பும் மதிப்பு ஊகமின்றி தெரிகிறது. டீமன் பார்வை இல்லாத Linux புரவலில், ip xfrm state அமைக்கப்பட்ட மென்மையான மற்றும் கடினமான பைட் மற்றும் பாக்கெட் வரம்புகளை தற்போதைய எண்ணிகளுக்கு அருகில் தெரிவிக்கிறது. அந்த இரண்டு வாசிப்புகளும் வெவ்வேறு கேள்விகளுக்குப் பதிலளிக்கின்றன, இரண்டும் டிக்கெட்டில் வைக்கத் தகுந்தவை.

swanctl --list-sas
ip -s xfrm state

அச்சிடப்பட்ட மென்மையான வரம்பை நீங்கள் அளந்த இடைவெளியுடன் ஒப்பிடுங்கள், ஏனெனில் கடினமான வரம்பிற்குக் கீழே விளிம்புடன் தொடங்கும் மாற்றீடு இயல்பானது, ஒருபோதும் தொடங்காதது அல்ல. டீமன் ஒரு ஆயுளையும் கர்னல் நிலை மற்றொன்றையும் காட்டினால், நீங்கள் ஒத்துப்போகாத இரண்டு அடுக்குகளைப் பார்க்கிறீர்கள், அதுவே கண்டுபிடிப்பு.

SA-வை மாற்றும் பரிமாற்றத்தைக் கவனியுங்கள்

மூன்று புதுப்பித்தல்கள் தனியாக வைத்திருங்கள், ஏனெனில் அவை வெவ்வேறு வழிகளில் தோல்வியடைகின்றன: IKE SA விசை மாற்றம் புதிய கட்டுப்பாட்டு சங்கத்தை உருவாக்குகிறது, CHILD SA விசை மாற்றம் தரவு சங்கத்தை மாற்றுகிறது, மறு அங்கீகாரம் அடையாளப் பரிமாற்றத்தை மீண்டும் செய்கிறது. IKEv2-இல் ஒவ்வொரு சகாவும் ஒரு பகிரப்பட்ட மதிப்பைப் பேச்சுவார்த்தை செய்வதற்குப் பதிலாக தனது சொந்த ஆயுட்காலங்களைத் தீர்மானிக்கிறது, எனவே நீங்கள் தொடங்காத பரிமாற்றம் சாதாரணமானது. perfect forward secrecy முரண்பாடு புதிய child SA சரியாக விசை-மாற்ற இடைவெளியில் இறப்பதற்கான அடிக்கடி காரணம், யாராவது முன்மொழிவைப் படிக்கும் வரை அது சரியாக டைமர் குறைபோல் தெரிகிறது.

பழைய சங்கத்தை அதன் வாரிசு மற்றும் அதை உருவாக்கிய பரிமாற்றத்துடன் ஒப்பிடுங்கள். அடையாளம் மறைவது வழக்கமான மாற்றீடு; நிராகரிக்கப்பட்ட முன்மொழிவு, இல்லாத பதில் அல்லது பயன்படுத்தக்கூடிய வாரிசு நிலையின் இல்லாமை வேறு உரிமையாளரின் வேறு நிகழ்வு. எதையும் மாற்றுவதற்கு முன் அந்த ஆதாரத்தைப் பாதுகாக்கவும், ஏனெனில் பதிப்பு சார்ந்த குறிப்புகள், சகாவின் முன்மொழிவு மற்றும் பேச்சுவார்த்தை செய்யப்பட்ட ஆயுட்காலங்களே பதிவுகள் சுழன்ற பிறகும் ஒரு வாரம் கழித்து வழக்கைப் படிக்கக்கூடியதாக்குகின்றன.

மறைப்பதற்குப் பதிலாக புதுப்பித்தலை நிரூபியுங்கள்

உங்களுக்கு நிகழும் புதுப்பித்தலுக்குப் பதிலாக நீங்கள் திட்டமிட்ட புதுப்பித்தலின் வழியாகச் சென்று வரிசைப்படுத்தலை ஏற்றுக்கொள்ளுங்கள். பராமரிப்பு சாளரத்திற்குள் ஒரு விசை மாற்றத்தை கட்டாயப்படுத்துங்கள், பின்னர் இரு திசைகளும் தரவை எடுத்துச் செல்கின்றன மற்றும் பயன்பாட்டு முடிவு மாறவில்லை என்பதை உறுதிப்படுத்துங்கள், சுரங்கப்பாதை காட்டி பச்சையாக இருப்பது மட்டுமல்ல. எந்த வரம்பு செயல்பட்டது மற்றும் எந்த பரிமாற்றம் ஈடுபட்டது என்பதைப் பதிவு செய்யுங்கள்.

அந்த வடிவத்தின் முடிவு பரிசோதனையைத் தாங்கும், ஆனால் இணைப்பை ஒரு பிற்பகல் அமைதியாகக் காட்டிய மாற்றப்பட்ட டைமர் மதிப்பு தாங்காது. டைமர் மட்டும் நகர்ந்தால், ஆதாரமும் அதனுடன் நகர்ந்தது.