Giám sát giao diện đường hầm IPsec: nên đọc gì

Thiết kế IPsec dựa trên tuyến cài đặt một giao diện ảo, và giao diện đó mang lại cho việc giám sát một đối tượng cụ thể: thứ có tên, có bộ đếm và có tuyến gắn với nó. Bản thân nó không phải tín hiệu sức khỏe. Giao diện có thể tồn tại trong khi chưa cài đặt hiệp hội nào dùng được, và một hiệp hội có thể khỏe mạnh trong khi không tuyến nào gửi lưu lượng đáng quan tâm về phía nó. Đọc bốn trạng thái cùng nhau chính là điều biến bộ đếm gói thành một chẩn đoán.

Đi qua chúng theo thứ tự và dừng ở trạng thái đầu tiên thất bại.

Giao diện thêm gì vào bức tranh

Trong thiết kế dựa trên chính sách, việc chọn lựa nằm trong bảng chính sách IPsec và hạt nhân quyết định cái gì được bảo vệ dựa trên bộ chọn lưu lượng. Thiết kế dựa trên tuyến thêm một giao diện và một tuyến, nên tcpdump và bộ đếm giao diện thấy một ranh giới thay vì một tập bộ chọn. Đây là lợi ích thực sự cho chẩn đoán và cho các giao thức định tuyến cần giao diện để peering.

Lợi ích mang tính quản trị, không phải mật mã. Giao diện báo cáo lưu lượng nó mang và không nói gì về việc bảo vệ của đối tác hiện có dùng được hay không.

Đọc bốn trạng thái trước khi đổ lỗi cho đường hầm

Bắt đầu với giao diện và tuyến, rồi hiệp hội, rồi ứng dụng. Mỗi thứ có lệnh riêng và dấu hiệu hỏng riêng. Một kết quả sạch ở một lớp không phải kết quả sạch ở lớp kế tiếp. Chạy cả bốn trước khi kết luận. Một dòng xanh hiếm khi giải quyết được gì.

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

Giao diện có bộ đếm tăng nhưng không có mục trạng thái khớp mô tả lưu lượng đi vào một đường mà không có gì bảo vệ nó, điều này tệ hơn một đường hầm chỉ đơn giản là sập. Mục trạng thái không có tuyến chọn giao diện nghĩa là mật mã đã sẵn sàng và chưa được dùng.

Bài kiểm tra ứng dụng đến cuối cùng và có chủ đích: một ping thành công tới phía bên kia đường hầm không chứng minh rằng dịch vụ phía sau chấp nhận kết nối.

So sánh bộ đếm bên trong với bộ đếm bên ngoài

Bộ đếm trên giao diện đường hầm đo lưu lượng bên trong; bộ đếm và bản chụp trên giao diện vật lý cho thấy trao đổi đã đóng gói. Hai thứ sẽ không khớp một-một, vì đóng gói thêm phần đầu, truyền lại nhân bản một số gói và việc hạch toán của triển khai theo quy tắc riêng. Hãy chờ một tỷ lệ, không phải sự bằng nhau.

Vị trí đặt bản chụp cũng quyết định dữ liệu riêng tư bạn thu thập, nên dùng bộ lọc hẹp và một địa chỉ kiểm tra vô hại thay vì chụp toàn bộ lưu lượng sản xuất.

Nếu bộ đếm bên trong tăng còn bên ngoài không tăng, bước còn thiếu thường là tuyến hoặc chính sách đưa gói vào đường hầm, không phải bản thân đường hầm.

Theo dõi nó qua việc làm mới khóa và chuyển đổi dự phòng

Quan sát một lần làm mới khóa, một sự kiện phát hiện đối tác chết và một lần chuyển liên kết dự phòng trong khi theo dõi cùng bốn trạng thái. Giao diện có thể vẫn tồn tại qua một lần làm mới khóa không bao giờ hoàn tất, và một lần chuyển đổi có thể để lại mục trạng thái trỏ tới địa chỉ đối tác không còn tới được.

Cảnh báo trên đường dịch vụ mà bạn thực sự phụ thuộc, với trạng thái hiệp hội làm ngữ cảnh, thay vì trên một cờ lên hoặc xuống duy nhất. Giữ tên giao diện, địa chỉ đối tác và tuyến trong tải trọng cảnh báo để người xử lý không phải dựng lại chúng.

strongSwan ghi lại mô hình giao diện XFRM của riêng mình, và các nền tảng khác đặt tên và triển khai đối tượng tương đương theo cách khác. Hãy đọc phần so sánh dựa trên tuyến cho thiết bị trước mặt bạn trước khi chuyển các giả định từ một triển khai khác. Một mẫu giám sát phù hợp với bộ đếm của một nhà cung cấp sẽ âm thầm gây nhầm lẫn ở nhà khác.