Yoğun bir IPsec tüneli neden erken anahtar yeniler: zaman ve hacim sınırları

Yaklaşık her elli dakikada bir, yoğun bir bağlantıdaki tünel birkaç saniye düşer ve ilk şüpheli saattir. İlişkilendirmeler bir zaman sınırıyla veya bayt sayısıyla sona erebilir ve hangi sınır önce gelirse onları emekliye ayıran odur. Gerçek trafik taşıyan bir bağlantıda hacim sınırı, yapılandırılmış saat dolmadan çok önce devreye girebilir. Yani «çok erken» saat hakkında bir ifadedir, ilişkilendirme hakkında değil.

Arayüzü değil, ilişkilendirmenin saydığını sayın

Bir arayüzün bayt toplamı, bir panonun birleşik aktarımı ve ilişkilendirmenin kendi sayacı üç ayrı sayıdır ve yalnızca biri sınırla karşılaştırılır. Gelen ve giden ilişkilendirmeyi tanımlayıcılarıyla ayrı ayrı kaydedin, böylece tek yönü etkileyen anahtar değişimi bir gizem değil yönlü bir olay olarak görünür. İlişkilendirmenin sayacı anahtar değişiminde de yeniden başlar, bu yüzden arayüzden alınan toplam büyürken önemli olan değer sıfırlanır.

Hesabı bir kez yapmak, büyüklük mertebesinin keyfi görünmeyi bırakması için değerlidir. Dakikada sabit 128 mebibayt hızla tüketilen bir gibibaytlık sayılmış bütçe sekiz dakikada tükenir ve bu bir birim dönüşümüdür, tünelinizin ölçümü değil. Ortaya çıkan sayı zaman sınırının çok altındaysa mekanizma hacimdir ve hiçbir saat izleme aralığı açıklamaz. Çok üstündeyse bayt sınırı sizin tetikleyiciniz değildir ve arama başka bir yere aittir.

Yumuşak ve katı eşikler iki farklı olaydır

Yumuşak eşik, katı sınır ilişkilendirmeyi bitirmeden çok önce değiştirme ister ve uygulamalar yapılandırdığınızın üzerine kendi paylarını ve rastgeleleştirmelerini ekler. Bu yüzden gözlenen aralık neredeyse hiçbir zaman yuvarlak bir sayı olmaz. IPsec mimarisi yaşam sürelerini zaman ve bayt sayısı olarak iki eşik türüyle açıklar ve daha erken sona eren geçerlidir. Basılı bir yaşam süresini çizelge olarak alırsanız pay kadar yanılırsınız.

Etkin ilkeyi dosyadaki bir sayıdan çıkarmak yerine çalışan durumdan okuyun, çünkü pay uygulamaya aittir, niyetinize değil. Belirtiyi susturmak için sınırları maksimumlarına doğru germe dürtüsüne direnin: çizelgeye göre anahtar yenileyen tünel tasarlandığı gibi davranır ve daha uzun ömür yalnızca olayı ertelerken ele geçirilmiş bir anahtarı daha uzun süre kullanılabilir tutar. Değiştirmenin kendisi başarısız olduğunda sınır suç değil habercidir.

Etkin ömrü çalışan durumdan okuyun

strongSwan'da swanctl --list-sas ilişkilendirmenin özetini anahtar değişimi ve yaşam süreleriyle yazdırır, böylece daemonun uygulamayı amaçladığı değer tahmin etmeden görülür. Daemon görünümü olmayan bir Linux ana bilgisayarında ip xfrm state yapılandırılmış yumuşak ve katı bayt ile paket sınırlarını geçerli sayaçların yanında bildirir. Bu iki okuma farklı soruları yanıtlar ve ikisi de kayıtta saklanmaya değer.

swanctl --list-sas
ip -s xfrm state

Basılı yumuşak eşiği ölçtüğünüz aralıkla karşılaştırın, çünkü katı sınırın altında bir payla başlayan değiştirme normaldir ve hiç başlamayan değildir. Daemon bir ömür gösteriyorsa ve çekirdek durumu başka bir ömür gösteriyorsa, birbiriyle uyuşmayan iki katmana bakıyorsunuz ve bu kendi başına bulgudur.

SA'yı değiştiren takası izleyin

üç yenilemeyi ayrı tutun, çünkü farklı şekillerde başarısız olurlar: IKE SA anahtar değişimi yeni bir kontrol ilişkilendirmesi kurar, CHILD SA anahtar değişimi veri ilişkilendirmesini değiştirir ve yeniden kimlik doğrulama kimlik takasını yineler. IKEv2'de her eş, tek bir ortak değer üzerinde pazarlık etmek yerine kendi yaşam sürelerine karar verir, bu yüzden başlatmadığınız bir takas olağandır. perfect forward secrecy uyuşmazlığı, yeni bir child SA'nın tam olarak anahtar değişimi aralığında ölmesinin sık nedenidir ve biri teklifi okuyana kadar tam olarak bir zamanlayıcı arızası gibi görünür.

Eski ilişkilendirmeyi ardılıyla ve onu üreten takasla karşılaştırın. Bir tanımlayıcının kaybolması rutin değiştirmedir; reddedilen teklif, eksik yanıt veya kullanılabilir ardıl durumunun yokluğu başka sahipli başka bir olaydır. Herhangi bir şeyi değiştirmeden önce bu kanıtı koruyun, çünkü sürüme özgü notlar, eşin teklifi ve pazarlık edilen yaşam süreleri, günlükler döndükten bir hafta sonra bile davayı okunur kılan şeydir.

Yenilemeyi gizlemek yerine kanıtlayın

Dağıtımı, size olan değil planladığınız bir yenilemeden geçerek kabul edin. Bakım penceresi içinde tek bir anahtar değişimini zorlayın, sonra iki yönün de veri taşıdığını ve uygulama sonucunun değişmediğini doğrulayın, yalnızca tünel göstergesinin yeşil olduğunu değil. Hangi sınırın devreye girdiğini ve hangi takasın yer aldığını kaydedin.

Bu biçimdeki bir sonuç incelemeye dayanır, ancak bağlantıyı bir öğleden sonra sessiz gösteren değiştirilmiş zamanlayıcı değeri dayanmaz. Yalnızca zamanlayıcı hareket ettiyse kanıtlar da onunla hareket etti.