การเฝ้าระวังอินเทอร์เฟซอุโมงค์ IPsec: ควรอ่านอะไร

การออกแบบ IPsec แบบอิงเส้นทางจะติดตั้งอินเทอร์เฟซเสมือน และอินเทอร์เฟซนั้นมอบวัตถุที่จับต้องได้ให้กับการเฝ้าระวัง: สิ่งที่มีชื่อ มีตัวนับ และมีเส้นทางที่ผูกอยู่กับมัน มันไม่ใช่สัญญาณสุขภาพในตัวเอง อินเทอร์เฟซสามารถมีอยู่ได้ในขณะที่ยังไม่ได้ติดตั้งสมาคมที่ใช้งานได้ และสมาคมอาจแข็งแรงในขณะที่ไม่มีเส้นทางใดส่งทราฟฟิกที่น่าสนใจไปทางนั้น การอ่านสถานะทั้งสี่ร่วมกันคือสิ่งที่เปลี่ยนตัวนับแพ็กเก็ตให้เป็นการวินิจฉัย

ไล่ดูตามลำดับและหยุดที่สถานะแรกที่ล้มเหลว

อินเทอร์เฟซเพิ่มอะไรให้กับภาพ

ในการออกแบบอิงนโยบาย การเลือกอาศัยอยู่ในตารางนโยบาย IPsec และเคอร์เนลตัดสินว่าอะไรได้รับการปกป้องจากตัวเลือกทราฟฟิก การออกแบบอิงเส้นทางเพิ่มอินเทอร์เฟซและเส้นทาง ดังนั้น tcpdump และตัวนับของอินเทอร์เฟซจึงเห็นพรมแดนเดียวแทนที่จะเป็นชุดของตัวเลือก นี่เป็นกำไรจริงสำหรับการวินิจฉัยและสำหรับโปรโตคอลเราเตอร์ที่ต้องมีอินเทอร์เฟซสำหรับ peering

กำไรนั้นเป็นเชิงบริหาร ไม่ใช่เชิงวิทยาการเข้ารหัส อินเทอร์เฟซรายงานทราฟฟิกที่มันบรรทุกและไม่พูดอะไรเลยว่าการปกป้องของคู่ค้าใช้งานได้ในขณะนี้หรือไม่

อ่านสถานะทั้งสี่ก่อนจะโทษอุโมงค์

เริ่มจากอินเทอร์เฟซและเส้นทาง จากนั้นสมาคม จากนั้นแอปพลิเคชัน แต่ละอย่างมีคำสั่งของตัวเองและลายเซ็นความล้มเหลวของตัวเอง ผลลัพธ์ที่สะอาดในชั้นหนึ่งไม่ใช่ผลลัพธ์ที่สะอาดในชั้นถัดไป รันทั้งสี่ก่อนสรุปผล บรรทัดสีเขียวบรรทัดเดียวแทบไม่เคยตัดสินอะไร

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

อินเทอร์เฟซที่มีตัวนับเพิ่มขึ้นแต่ไม่มีรายการสถานะที่ตรงกัน อธิบายทราฟฟิกที่เข้าสู่เส้นทางที่ไม่มีอะไรปกป้อง ซึ่งแย่กว่าอุโมงค์ที่แค่ล่ม รายการสถานะที่ไม่มีเส้นทางเลือกอินเทอร์เฟซหมายความว่าการเข้ารหัสพร้อมแต่ไม่ได้ใช้

การทดสอบแอปพลิเคชันมาสุดท้ายและตั้งใจ: ping ที่สำเร็จไปยังอีกฝั่งของอุโมงค์ไม่ได้พิสูจน์ว่าบริการที่อยู่เบื้องหลังยอมรับการเชื่อมต่อ

เปรียบเทียบตัวนับภายในกับตัวนับภายนอก

ตัวนับบนอินเทอร์เฟซอุโมงค์วัดทราฟฟิกภายใน ตัวนับและการดักจับบนอินเทอร์เฟซกายภาพแสดงการแลกเปลี่ยนที่ห่อหุ้มไว้ ทั้งสองจะไม่ตรงกันแบบหนึ่งต่อหนึ่ง เพราะการห่อหุ้มเพิ่มส่วนหัว การส่งซ้ำทำสำเนาแพ็กเก็ตบางส่วน และการบัญชีของการนำไปใช้มีกฎของตัวเอง คาดหวังอัตราส่วน ไม่ใช่ความเท่ากัน

ตำแหน่งของการดักจับยังกำหนดว่าคุณเก็บข้อมูลส่วนตัวอะไรบ้าง ดังนั้นใช้ตัวกรองแคบๆ และที่อยู่ทดสอบที่ไม่เป็นอันตรายแทนการดักจับทราฟฟิกการผลิตทั้งหมด

ถ้าตัวนับภายในเพิ่มขึ้นและภายนอกไม่เพิ่ม ขั้นตอนที่ขาดหายมักเป็น เส้นทางหรือนโยบายที่ส่งแพ็กเก็ตเข้าอุโมงค์ ไม่ใช่อุโมงค์เอง

ติดตามผ่านการเปลี่ยนคีย์และการสลับสำรอง

สังเกตการเปลี่ยนคีย์ เหตุการณ์ตรวจจับคู่ค้าที่ตายแล้ว และการสลับลิงก์สำรอง ขณะเฝ้าดูสถานะทั้งสี่เดียวกัน อินเทอร์เฟซอาจยังคงอยู่ระหว่างการเปลี่ยนคีย์ที่ไม่เคยเสร็จสิ้น และการสลับอาจทิ้งรายการสถานะที่ชี้ไปยังที่อยู่คู่ค้าที่เข้าถึงไม่ได้อีกต่อไป

แจ้งเตือนบนเส้นทางบริการที่คุณพึ่งพาจริง โดยใช้สถานะของสมาคมเป็นบริบท ไม่ใช่ธงขึ้นหรือลงเพียงตัวเดียว เก็บชื่ออินเทอร์เฟซ ที่อยู่คู่ค้า และเส้นทางไว้ในเพย์โหลดการแจ้งเตือน เพื่อให้ผู้ตอบสนองไม่ต้องสร้างใหม่

strongSwan จัดทำเอกสารโมเดลอินเทอร์เฟซ XFRM ของตัวเอง และแพลตฟอร์มอื่นตั้งชื่อและนำวัตถุที่เทียบเท่าไปใช้ต่างกัน อ่านการเปรียบเทียบแบบอิงเส้นทางสำหรับอุปกรณ์ที่อยู่ตรงหน้าคุณก่อนจะย้ายสมมติฐานจากอีกการนำไปใช้ เทมเพลตการเฝ้าระวังที่เหมาะกับตัวนับของผู้ผลิตหนึ่งจะทำให้เข้าใจผิดอย่างเงียบๆ กับอีกราย