IPsec tünel arayüzünü izlemek: neyi okumalı

Rota tabanlı bir IPsec tasarımı sanal bir arayüz kurar ve bu arayüz izlemeye somut bir nesne verir: adı, sayaçları ve kendisine bağlı bir rotası olan bir şey. Tek başına bu bir sağlık sinyali değildir. Arayüz, kullanılabilir hiçbir ilişkilendirme kurulu değilken var olabilir ve bir ilişkilendirme sağlıklıyken hiçbir rota ilginç trafiği ona göndermeyebilir. Dört durumu birlikte okumak, bir paket sayacını tanıya dönüştüren şeydir.

Bunları sırayla ele alın ve başarısız olan ilkinde durun.

Arayüzün resme kattığı

İlke tabanlı bir tasarımda seçim IPsec ilke tablosunda yaşar ve çekirdek, trafik seçicilerine göre neyin korunacağına karar verir. Rota tabanlı bir tasarım bir arayüz ve bir rota ekler; böylece tcpdump ve arayüz sayaçları bir seçici kümesi yerine tek bir sınır görür. Bu, tanılama ve üzerinde eşleşme kurmak için arayüze ihtiyaç duyan yönlendirme protokolleri için gerçek bir kazançtır.

Kazanç yönetseldir, kriptografik değildir. Arayüz taşıdığı trafiği bildirir ve karşı tarafın korumasının şu anda kullanılabilir olup olmadığı hakkında hiçbir şey söylemez.

Tüneli suçlamadan önce dört durumu okuyun

Arayüz ve rotayla başlayın, sonra ilişkilendirme, sonra uygulama. Her birinin kendi komutu ve kendi arıza imzası vardır. Bir katmanda temiz sonuç, sonraki katmanda temiz sonuç değildir. Bir sonuca varmadan önce dördünü de çalıştırın. Tek bir yeşil satır nadiren bir şeyi çözer.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Sayacı artan ama eşleşen durum girdisi olmayan bir arayüz, hiçbir şeyin korumadığı bir yola giren trafiği anlatır; bu, basitçe kapalı bir tünelden daha kötüdür. Arayüzü seçen rotası olmayan bir durum girdisi, kriptografinin hazır ve kullanılmıyor olduğu anlamına gelir.

Uygulama testi bilerek en sona gelir: tünelin karşı tarafına başarılı bir ping, arkasındaki hizmetin bağlantı kabul ettiğini kanıtlamaz.

İç sayaçları dış sayaçlarla karşılaştırın

Tünel arayüzündeki sayaçlar iç trafiği ölçer; fiziksel arayüzdeki sayaçlar ve yakalamalar kapsüllenmiş alışverişi gösterir. İkisi bire bir eşleşmez, çünkü kapsülleme başlık ekler, yeniden iletimler bazı paketleri çoğaltır ve uygulamanın muhasebesi kendi kurallarına uyar. Eşitlik değil, bir oran bekleyin.

Yakalamanın konumu hangi özel verileri topladığınızı da belirler; bu yüzden üretim trafiğinin tamamını yakalamak yerine dar filtreler ve zararsız bir test adresi kullanın.

İç sayımlar artıyor ve dış sayımlar artmıyorsa, eksik adım genellikle paketleri tünele gönderen rota veya ilkedir, tünelin kendisi değil.

Anahtar yenileme ve yedeklemeye geçiş boyunca izleyin

Aynı dört durumu izlerken bir anahtar yenilemeyi, ölü eş algılama olayını ve bağlantı yedeklemeye geçişini gözlemleyin. Bir arayüz hiç tamamlanmayan bir anahtar yenileme sırasında varlığını sürdürebilir ve bir geçiş, durum girdisini artık erişilemeyen bir eş adresine işaret eder bırakabilir.

Gerçekten bağlı olduğunuz hizmet yolunda, ilişkilendirme durumunu bağlam olarak kullanarak alarm verin; tek bir yukarı veya aşağı bayrağında değil. Arayüz adını, eş adresini ve rotayı alarm yükünde tutun, böylece yanıt veren kişi bunları yeniden oluşturmak zorunda kalmasın.

strongSwan kendi XFRM arayüz modelini belgeler ve diğer platformlar eşdeğer nesneyi farklı adlandırıp uygular. Farklı bir uygulamadan varsayımları taşımadan önce önünüzdeki cihaz için rota tabanlı karşılaştırmayı okuyun. Bir üreticinin sayaçlarına uyan bir izleme şablonu, diğerinde sessizce yanıltacaktır.