Vì sao một đường hầm IPsec bận rộn đổi khóa sớm: giới hạn thời gian và khối lượng

Khoảng mỗi năm mươi phút, một đường hầm trên liên kết bận rộn sụp trong vài giây, và nghi phạm đầu tiên là đồng hồ. Các liên kết có thể kết thúc theo giới hạn thời gian hoặc theo số byte, và ranh giới nào đến trước chính là thứ cho chúng nghỉ hưu. Trên một liên kết mang lưu lượng thật, giới hạn khối lượng có thể kích hoạt từ lâu trước khi hết giờ đã cấu hình. Vậy «quá sớm» là một phát biểu về đồng hồ, không phải về liên kết.

Đếm thứ mà liên kết đếm, không phải giao diện

Tổng byte của giao diện, thông lượng kết hợp của bảng điều khiển và bộ đếm riêng của liên kết là ba con số riêng biệt, và chỉ một trong số đó được so với giới hạn. Ghi lại liên kết vào và ra riêng biệt cùng các định danh của chúng, để một lần đổi khóa chạm vào một hướng hiện ra như một sự kiện có hướng thay vì một điều bí ẩn. Bộ đếm của liên kết cũng bắt đầu lại khi đổi khóa, đó là lý do tổng lấy từ giao diện tăng lên trong khi giá trị quan trọng bị đặt lại.

Nên làm phép tính một lần để bậc độ lớn thôi có vẻ tùy tiện. Một ngân sách được đếm là một gibibyte tiêu hao với tốc độ ổn định 128 mebibyte mỗi phút sẽ cạn trong tám phút, và đó là quy đổi đơn vị, không phải phép đo đường hầm của bạn. Nếu con số thu được nằm xa dưới giới hạn thời gian, khối lượng là cơ chế và không việc nhìn đồng hồ nào giải thích được khoảng thời gian. Nếu nó nằm xa trên, giới hạn byte không phải tác nhân kích hoạt của bạn và việc tìm kiếm thuộc về nơi khác.

Ngưỡng mềm và cứng là hai sự kiện khác nhau

Một ngưỡng mềm yêu cầu thay thế từ lâu trước khi giới hạn cứng kết thúc liên kết, và các triển khai chồng thêm biên và ngẫu nhiên hóa của riêng chúng lên trên những gì bạn đã cấu hình. Đó là lý do khoảng thời gian quan sát được gần như không bao giờ là một số tròn. kiến trúc IPsec mô tả tuổi thọ được biểu thị bằng thời gian và số byte với hai loại ngưỡng, và mốc hết hạn sớm hơn là mốc chi phối. Nếu bạn coi một tuổi thọ in ra là lịch trình, bạn sẽ sai bằng đúng độ lớn của biên.

Hãy đọc chính sách hiệu dụng từ trạng thái đang chạy thay vì suy ra từ một con số trong tệp, vì biên thuộc về triển khai, không thuộc về ý định của bạn. Hãy chống lại sự cám dỗ kéo giãn các giới hạn tới mức tối đa để dập tắt triệu chứng: một đường hầm đổi khóa theo lịch trình đang hành xử như thiết kế, và tuổi thọ dài hơn chỉ hoãn sự kiện lại trong khi giữ một khóa đã bị xâm phạm dùng được lâu hơn. Khi bản thân việc thay thế thất bại, giới hạn là người đưa tin chứ không phải lỗi.

Đọc tuổi thọ hiệu dụng từ trạng thái đang chạy

Trên strongSwan, swanctl --list-sas in bản tóm tắt của liên kết cùng thời gian đổi khóa và tuổi thọ, nên giá trị mà daemon định áp đặt được thấy mà không cần đoán. Trên một máy chủ Linux không có giao diện daemon, ip xfrm state báo cáo các giới hạn byte và gói mềm và cứng đã cấu hình bên cạnh các bộ đếm hiện tại. Hai lần đọc đó trả lời những câu hỏi khác nhau và cả hai đều đáng giữ lại trong phiếu.

swanctl --list-sas
ip -s xfrm state

Hãy so ngưỡng mềm in ra với khoảng thời gian bạn đã đo, vì một lần thay thế bắt đầu với biên dưới giới hạn cứng là bình thường và một lần không bao giờ bắt đầu thì không. Nếu daemon hiển thị một tuổi thọ và trạng thái hạt nhân hiển thị tuổi thọ khác, bạn đang nhìn hai lớp không đồng ý với nhau, và bản thân điều đó là phát hiện.

Theo dõi trao đổi thay thế SA

Hãy giữ ba lần gia hạn riêng biệt, vì chúng thất bại theo những cách khác nhau: đổi khóa IKE SA xây một liên kết điều khiển mới, đổi khóa CHILD SA thay thế liên kết dữ liệu, và xác thực lại lặp lại trao đổi danh tính. Trong IKEv2 mỗi bên quyết định tuổi thọ của riêng mình thay vì thương lượng một giá trị chung, nên một trao đổi mà bạn không khởi tạo là chuyện bình thường. Sự không khớp perfect forward secrecy là nguyên nhân thường gặp khiến một child SA mới chết đúng tại khoảng đổi khóa, và nó trông hệt như một lỗi bộ hẹn giờ cho đến khi ai đó đọc đề xuất.

Hãy so liên kết cũ với liên kết kế nhiệm và với trao đổi đã tạo ra nó. Một định danh biến mất là thay thế thông thường; một đề xuất bị từ chối, một phản hồi thiếu hoặc không có trạng thái kế nhiệm dùng được là một sự kiện khác với chủ khác. Hãy giữ lại bằng chứng đó trước khi thay đổi bất cứ điều gì, vì ghi chú riêng cho phiên bản, đề xuất của đối tác và tuổi thọ đã thương lượng là những thứ khiến hồ sơ vẫn đọc được một tuần sau, sau khi nhật ký đã quay vòng.

Chứng minh việc gia hạn thay vì che giấu nó

Hãy chấp nhận việc triển khai bằng cách đi qua một lần gia hạn mà bạn đã lên kế hoạch, không phải một lần xảy đến với bạn. Buộc một lần đổi khóa duy nhất trong cửa sổ bảo trì, rồi xác nhận rằng sau đó cả hai hướng đều mang dữ liệu và kết quả ứng dụng không đổi, không chỉ là chỉ báo đường hầm màu xanh. Ghi lại giới hạn nào đã kích hoạt và trao đổi nào đã tham gia.

Một kết luận có hình dạng đó chịu được sự xem xét, còn một giá trị bộ hẹn giờ đã bị thay đổi khiến kết nối trông yên tĩnh suốt một buổi chiều thì không. Nếu chỉ bộ hẹn giờ dịch chuyển, bằng chứng cũng dịch chuyển theo.