Pagsubaybay sa interface ng IPsec tunnel: ano ang babasahin

Ang disenyong IPsec na nakabatay sa ruta ay naglalagay ng virtual na interface, at ang interface na iyon ay nagbibigay sa pagsubaybay ng konkretong bagay: isang bagay na may pangalan, mga counter at isang rutang nakakabit dito. Hindi ito senyales ng kalusugan sa sarili nito. Maaaring umiral ang interface habang walang naka-install na magagamit na asosasyon, at maaaring malusog ang asosasyon habang walang rutang nagpapadala ng kawili-wiling trapiko patungo rito. Ang pagbasa ng apat na estado nang sama-sama ang siyang nagpapalit ng counter ng packet tungo sa diagnosis.

Suriin ang mga ito nang sunud-sunod at huminto sa unang estado na nabigo.

Ano ang idinadagdag ng interface sa larawan

Sa disenyong nakabatay sa patakaran, ang pagpili ay nasa talahanayan ng patakaran ng IPsec at ang kernel ang nagpapasya kung ano ang poprotektahan batay sa mga tagapili ng trapiko. Ang disenyong nakabatay sa ruta ay nagdaragdag ng interface at ruta, kaya ang tcpdump at mga counter ng interface ay nakakakita ng isang hangganan sa halip na isang pangkat ng tagapili. Tunay itong pakinabang para sa diagnosis at para sa mga protocol ng routing na nangangailangan ng interface para sa peering.

Ang pakinabang ay administratibo, hindi kriptograpiko. Iniulat ng interface ang trapikong dinadala nito at walang sinasabi tungkol sa kung magagamit ngayon ang proteksyon ng kapares.

Basahin ang apat na estado bago sisihin ang tunnel

Magsimula sa interface at ruta, pagkatapos sa asosasyon, pagkatapos sa aplikasyon. Bawat isa ay may sariling utos at sariling pirma ng pagkabigo. Ang malinis na resulta sa isang antas ay hindi malinis na resulta sa susunod. Patakbuhin ang apat bago magbigay ng konklusyon. Isang luntiang linya ang bihirang magpasiya ng anuman.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Ang interface na tumataas ang counter ngunit walang tugmang entry ng estado ay naglalarawan ng trapikong pumapasok sa isang landas kung saan walang nagpoprotekta rito, at ito ay mas malala kaysa sa tunnel na basta bumagsak. Ang entry ng estado na walang rutang pumipili sa interface ay nangangahulugang handa at hindi ginagamit ang kriptograpiya.

Ang pagsubok sa aplikasyon ay huling dumarating at sinasadya: ang matagumpay na ping sa kabilang panig ng tunnel ay hindi nagpapatunay na tinatanggap ng serbisyo sa likod nito ang mga koneksyon.

Ihambing ang mga panloob na counter sa mga panlabas

Ang mga counter sa interface ng tunnel ay sumusukat ng panloob na trapiko; ang mga counter at huli sa pisikal na interface ay nagpapakita ng naka-encapsulate na palitan. Hindi sila magtutugma nang isa-sa-isa, dahil ang encapsulation ay nagdaragdag ng header, ang mga muling pagpapadala ay nagdodoble ng ilang packet at ang pagtutuos ng implementasyon ay sumusunod sa sarili nitong mga tuntunin. Asahan ang isang proporsyon, hindi pagkakapantay-pantay.

Ang lugar ng huli ay nagpapasya rin kung anong pribadong datos ang kinokolekta mo, kaya gumamit ng makikitid na filter at hindi nakapipinsalang test address sa halip na buong huli ng produksyong trapiko.

Kung tumataas ang panloob na bilang at hindi tumataas ang panlabas, ang kulang na hakbang ay karaniwang ang ruta o patakarang nagpapadala ng packet sa tunnel, hindi ang tunnel mismo.

Subaybayan ito sa pagpapalit ng susi at failover

Obserbahan ang pagpapalit ng susi, kaganapan ng pagtuklas ng patay na kapares at failover ng link habang binabantayan ang parehong apat na estado. Maaaring manatiling naroroon ang interface sa panahon ng pagpapalit ng susi na hindi natatapos, at ang failover ay maaaring mag-iwan ng entry ng estado na nakaturo sa address ng kapares na hindi na maabot.

Magbigay ng alerto sa landas ng serbisyong talagang pinagkakatiwalaan mo, gamit ang estado ng asosasyon bilang konteksto, hindi sa isang bandila ng pataas o pababa. Itago ang pangalan ng interface, address ng kapares at ruta sa payload ng alerto upang hindi na kailangang buuin muli ng tumutugon.

Dinodokumento ng strongSwan ang sarili nitong modelo ng interface ng XFRM, at ang ibang plataporma ay iba ang pagpangalan at pagpapatupad sa katumbas na bagay. Basahin ang paghahambing na nakabatay sa ruta para sa device sa harap mo bago maglipat ng mga palagay mula sa ibang implementasyon. Ang template ng pagsubaybay na umaangkop sa mga counter ng isang vendor ay tahimik na magliligaw sa iba.