Nega band IPsec tunnel kalitlarni erta yangilaydi: vaqt va hajm chegaralari

Taxminan har ellik daqiqada band havoladagi tunnel bir necha soniya uziladi va birinchi gumondor soatdir. Assotsiatsiyalar vaqt chegarasi yoki bayt soni bilan tugashi mumkin, qaysi chegara oldin kelsa, o‘sha ularni nafaqaga chiqaradi. Haqiqiy trafik tashiydigan havolada hajm chegarasi sozlangan soat tugashidan ancha oldin ishga tushishi mumkin. Shuning uchun «juda erta» soat haqidagi bayonot, assotsiatsiya haqida emas.

Interfeysni emas, assotsiatsiya sanaydiganini sanang

Interfeysning jami bayti, boshqaruv panelining birlashgan o‘tkazuvchanligi va assotsiatsiyaning o‘z hisoblagichi uchta alohida son, va ulardan faqat bittasi chegara bilan solishtiriladi. Kiruvchi va chiquvchi assotsiatsiyalarni identifikatorlari bilan alohida yozib oling, shunda bir yo‘nalishga tegadigan kalit almashinuvi sir emas, yo‘nalishli hodisa sifatida ko‘rinadi. Assotsiatsiya hisoblagichi ham kalit almashinuvida qaytadan boshlanadi, shuning uchun interfeysdan olingan jamlanma o‘sadi, muhim qiymat esa nolga tushadi.

Hisobni bir marta qilish arziydi, shunda kattalik tartibi o‘zboshimchalik bo‘lib tuyulishni to‘xtatadi. Daqiqada barqaror 128 mebibayt sur’atda sarflanadigan bir gibibaytlik hisoblangan byudjet sakkiz daqiqada tugaydi va bu birlik almashtirish, tunnelingizni o‘lchash emas. Agar natijaviy son vaqt chegarasidan ancha past bo‘lsa, mexanizm hajm, va soatga qarash oraliqni tushuntirmaydi. Agar u ancha yuqori bo‘lsa, bayt chegarasi sizning tetikingiz emas va qidiruv boshqa joyga tegishli.

Yumshoq va qattiq chegaralar ikki xil hodisa

Yumshoq chegara qattiq chegara assotsiatsiyani tugatishidan ancha oldin almashtirishni talab qiladi, amalga oshirishlar esa siz sozlagan narsa ustiga o‘z marjalari va tasodifiylashtirishini qo‘shadi. Shu sababli kuzatilgan oraliq deyarli hech qachon yumaloq son bo‘lmaydi. IPsec arxitekturasi umrlarni vaqt va bayt sonida ikki turdagi chegaralar bilan tavsiflaydi, va avvalroq tugaydigan muddat amal qiladi. Bitta bosma umrni jadval deb qabul qilsangiz, marja miqdorida xato qilasiz.

Samarali siyosatni fayldagi sondan taxmin qilish o‘rniga ishlayotgan holatdan o‘qing, chunki marja amalga oshirishga tegishli, niyatingizga emas. Alomatni jim qilish uchun chegaralarni maksimumiga cho‘zish vasvasasiga qarshi turing: jadval bo‘yicha kalit yangilaydigan tunnel loyihalashtirilgandek ishlaydi, uzoqroq umr esa hodisani faqat kechiktiradi va buzilgan kalitni uzoqroq ishlatishga yaroqli saqlaydi. Almashtirishning o‘zi muvaffaqiyatsiz bo‘lsa, chegara xabarchi, ayb emas.

Samarali umrni ishlayotgan holatdan o‘qing

strongSwan’da swanctl --list-sas assotsiatsiya xulosasini kalit almashinuvi va umr vaqtlari bilan chop etadi, shuning uchun demon qo‘llamoqchi bo‘lgan qiymat taxminsiz ko‘rinadi. Demon ko‘rinishi bo‘lmagan Linux xostda ip xfrm state sozlangan yumshoq va qattiq bayt hamda paket chegaralarini joriy hisoblagichlar yonida xabar qiladi. Bu ikki o‘qish turli savollarga javob beradi va ikkisini ham bilettda saqlashga arziydi.

swanctl --list-sas
ip -s xfrm state

Bosma yumshoq chegarani siz o‘lchagan oraliq bilan solishtiring, chunki qattiq chegaradan past marja bilan boshlanadigan almashtirish normal, hech qachon boshlanmaydigan esa emas. Agar demon bir umrni, yadro holati boshqasini ko‘rsatsa, siz kelishmaydigan ikki qatlamga qarayapsiz, va bu o‘zi topilma.

SA ni almashtiradigan almashinuvni kuzating

uch yangilanishni alohida tuting, chunki ular turlicha muvaffaqiyatsizlikka uchraydi: IKE SA kalit almashinuvi yangi boshqaruv assotsiatsiyasini quradi, CHILD SA kalit almashinuvi ma’lumot assotsiatsiyasini almashtiradi, qayta autentifikatsiya esa identifikatsiya almashinuvini takrorlaydi. IKEv2’da har bir tomon bitta umumiy qiymat bo‘yicha muzokara qilish o‘rniga o‘z umrlarini hal qiladi, shuning uchun siz boshlamagan almashinuv odatiy. perfect forward secrecy nomuvofiqligi yangi child SA ning aynan kalit almashinuvi oralig‘ida o‘lishining tez-tez sababi, va kimdir taklifni o‘qiguncha u aynan taymer nosozligi kabi ko‘rinadi.

Eski assotsiatsiyani uning vorisi va uni hosil qilgan almashinuv bilan solishtiring. Identifikatorning yo‘qolishi odatiy almashtirish; rad etilgan taklif, yo‘q javob yoki yaroqli voris holatining yo‘qligi boshqa egaga tegishli boshqa hodisa. Biron narsani o‘zgartirishdan oldin o‘sha dalilni saqlang, chunki versiyaga xos eslatmalar, tomonning taklifi va kelishilgan umrlar jurnallar aylangandan keyin ham ishni bir hafta o‘tib o‘qish mumkin qiladigan narsadir.

Yashirish o‘rniga yangilanishni isbotlang

Joriy etishni sizga sodir bo‘ladigan yangilanish emas, rejalashtirgan yangilanish orqali qabul qiling. Texnik xizmat oynasida bitta kalit almashinuvini majburlang, so‘ng ikkala yo‘nalish ham keyin ma’lumot tashishini va ilova natijasi o‘zgarmaganini tasdiqlang, faqat tunnel ko‘rsatkichi yashil bo‘lganini emas. Qaysi chegara ishga tushgani va qaysi almashinuv ishtirok etganini yozib qo‘ying.

Bunday shakldagi xulosa tekshiruvdan o‘tadi, ammo ulanishni bir tushlik vaqt jim ko‘rsatgan o‘zgartirilgan taymer qiymati o‘tmaydi. Agar faqat taymer siljigan bo‘lsa, dalil ham u bilan siljidi.