IPsec tunnel interfeysini kuzatish: nimani o‘qish kerak

Marshrutga asoslangan IPsec dizayni virtual interfeys o‘rnatadi va bu interfeys kuzatuvga aniq obyekt beradi: nomi, hisoblagichlari va unga bog‘langan marshruti bo‘lgan narsa. Bu o‘z-o‘zidan sog‘liq signali emas. Interfeys foydalanish mumkin bo‘lgan hech qanday assotsiatsiya o‘rnatilmagan holda ham mavjud bo‘lishi mumkin, assotsiatsiya esa sog‘lom bo‘lishi mumkin, lekin hech qanday marshrut qiziqarli trafikni unga yubormaydi. To‘rt holatni birga o‘qish paket hisoblagichini diagnostikaga aylantiradigan narsadir.

Ularni tartib bilan ko‘rib chiqing va muvaffaqiyatsiz bo‘lgan birinchisida to‘xtang.

Interfeys rasmga nima qo‘shadi

Siyosatga asoslangan dizaynda tanlov IPsec siyosat jadvalida yashaydi va yadro trafik selektorlariga asoslanib nima himoyalanishini hal qiladi. Marshrutga asoslangan dizayn interfeys va marshrut qo‘shadi, shuning uchun tcpdump va interfeys hisoblagichlari selektorlar to‘plami o‘rniga bitta chegarani ko‘radi. Bu diagnostika va ustida peering qilish uchun interfeys kerak bo‘lgan marshrutlash protokollari uchun haqiqiy foyda.

Foyda ma’muriy, kriptografik emas. Interfeys o‘zi tashiydigan trafik haqida xabar beradi va sherik tomonning himoyasi hozir foydalanish mumkinmi-yo‘qmi, bu haqda hech narsa demaydi.

Tunnelni ayblashdan oldin to‘rt holatni o‘qing

Interfeys va marshrutdan boshlang, keyin assotsiatsiyadan, keyin ilovadan. Har birining o‘z buyrug‘i va o‘z nosozlik belgisi bor. Bir qatlamdagi toza natija keyingi qatlamdagi toza natija emas. Xulosa chiqarishdan oldin to‘rttasini ham bajaring. Bitta yashil satr kamdan-kam narsani hal qiladi.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Hisoblagichi o‘sayotgan, lekin mos holat yozuvi bo‘lmagan interfeys hech narsa himoyalamaydigan yo‘lga kirayotgan trafikni tasvirlaydi, bu esa shunchaki o‘chgan tunneldan yomonroq. Interfeysni tanlaydigan marshruti bo‘lmagan holat yozuvi kriptografiya tayyor va ishlatilmayotganini bildiradi.

Ilova testi ataylab eng oxirida keladi: tunnelning narigi tomoniga muvaffaqiyatli ping orqasidagi xizmat ulanishlarni qabul qilishini isbotlamaydi.

Ichki hisoblagichlarni tashqi hisoblagichlar bilan solishtiring

Tunnel interfeysidagi hisoblagichlar ichki trafikni o‘lchaydi; fizik interfeysdagi hisoblagichlar va yozuvlar inkapsulyatsiyalangan almashinuvni ko‘rsatadi. Bu ikkisi bir-biriga to‘liq mos kelmaydi, chunki inkapsulyatsiya sarlavhalar qo‘shadi, qayta yuborishlar ba’zi paketlarni takrorlaydi va amalga oshirishning hisobi o‘z qoidalariga tayanadi. Tenglikni emas, nisbatni kuting.

Yozuv joyi qanday shaxsiy ma’lumotlarni to‘plashingizni ham belgilaydi, shuning uchun ishlab chiqarish trafigini to‘liq yozish o‘rniga tor filtrlar va zararsiz sinov manzilidan foydalaning.

Ichki hisoblagichlar o‘sib, tashqilari o‘smasa, yetishmayotgan qadam odatda paketlarni tunnelga yuboradigan marshrut yoki siyosat, tunnelning o‘zi emas.

Kalitlarni yangilash va zaxira o‘tish davomida kuzating

Xuddi shu to‘rt holatni kuzatib, kalitlarni yangilashni, o‘lik sherikni aniqlash hodisasini va ulanishning zaxira o‘tishini kuzating. Interfeys hech qachon tugamaydigan kalitlarni yangilash davomida ham mavjud bo‘lib qolishi mumkin, zaxira o‘tish esa holat yozuvini endi yetib bo‘lmaydigan sherik manziliga qaratib qoldirishi mumkin.

Haqiqatan bog‘liq bo‘lgan xizmat yo‘lida, assotsiatsiya holatini kontekst sifatida ishlatib signal bering, bitta yuqori yoki pastki bayroqda emas. Interfeys nomini, sherik manzilini va marshrutni signal yuklamasida saqlang, shunda javob beruvchi ularni qayta qurishga majbur bo‘lmaydi.

strongSwan o‘zining XFRM interfeys modelini hujjatlashtiradi, boshqa platformalar esa ekvivalent obyektni boshqacha nomlaydi va amalga oshiradi. Boshqa amalga oshirishdan taxminlarni ko‘chirishdan oldin oldingizdagi qurilma uchun marshrutga asoslangan taqqoslashni o‘qing. Bitta ishlab chiqaruvchining hisoblagichlariga mos monitoring shabloni boshqasida jimgina chalg‘itadi.