Kiểm thử IKEv2/IPsec: rekey, DPD, NAT-T và failover

IKEv2 thiết lập IKE SA và CHILD SA; IPsec bảo vệ traffic theo selector/policy. Rekey có thể tạo SA mới trong khi SA cũ còn overlap. Lỗi timing, SPI/policy hoặc HA state sync có thể gây blackhole ngắn dù GUI vẫn hiển thị tunnel hoạt động.

Mục tiêu gồm negotiation đúng suite/identity, traffic selector đúng, rekey không vượt loss budget, DPD phát hiện peer mất, NAT-T hoạt động và failover không tạo leakage/cleartext.

Đặt gateway A/B qua WAN emulator, một NAT device ở ít nhất một nhánh và cặp HA ở DUT nếu production có. Traffic generator phát TCP/UDP/ICMP, flow dài/ngắn và nhiều subnet/selector. Thu IKE/IPsec SA, SPI, counter encrypt/decrypt/drop, HA log và capture ở clear/encrypted side.

Baseline không impairment, sau đó thêm latency/loss/reorder, NAT mapping expiry, peer/link failure và HA failover. Không ghi pre-shared key/private key vào artifact.

Khóa authentication, proposal, DH/PFS, lifetime byte/time, rekey margin, DPD timer, NAT-T, MTU/MSS, traffic selector, anti-replay window và HA sync. Ghi version/patch và hardware offload.

Traffic profile cần frame size, offered load, concurrent tunnels, CPS và long-lived flows. Đừng thay crypto suite và WAN impairment cùng lúc nếu muốn tìm nguyên nhân.

Đo IKE/CHILD SA establishment success/time, rekey time, packet loss duration, out-of-order, latency p99, throughput/goodput, failover/recovery, DPD detection và unexpected cleartext. Kiểm tra counter hai peer khớp hợp lý.

• Kịch bản: initial setup · KPI chính: success/time · Bằng chứng: IKE exchange + SA · Fail điển hình: proposal/identity mismatch
• Kịch bản: CHILD rekey · KPI chính: loss/duplicate · Bằng chứng: SPI timeline + sequence · Fail điển hình: overlap/blackhole
• Kịch bản: peer mất · KPI chính: DPD/recovery · Bằng chứng: liveness log + traffic · Fail điển hình: stale SA
• Kịch bản: NAT mapping đổi · KPI chính: NAT-T recovery · Bằng chứng: UDP encapsulation/counter · Fail điển hình: tunnel Up nhưng no traffic
• Kịch bản: HA failover · KPI chính: continuity · Bằng chứng: state sync + packet · Fail điển hình: full renegotiation dài
• Kịch bản: MTU thấp · KPI chính: delivery/fragment · Bằng chứng: ICMP/ESP/counter · Fail điển hình: silent drop

Ma trận gồm auth method, suite, PFS, NAT/no NAT, IPv4/IPv6 outer/inner, selector count, impairment và HA state. Negative case: identity sai, proposal không giao, expired certificate, selector ngoài policy và replay packet trong lab.

Không coi suite yếu là baseline chấp nhận chỉ vì nhanh hơn. Security policy xác định thuật toán cho phép; benchmark so trong tập được duyệt.

• Lưu version, proposal, policy, route và MTU baseline.
• Thiết lập một tunnel/flow, xác minh clear/encrypted capture.
• Tăng tunnel/traffic scale theo bậc.
• Rút ngắn lifetime trong lab, đo nhiều chu kỳ rekey.
• Thêm latency/loss/reorder và lặp rekey.
• Đổi NAT mapping/timeout, đo recovery.
• Fail link/peer rồi HA node; đo DPD/failover.
• Thử MTU/fragmentation và traffic selector âm tính.
• Khôi phục, xác nhận SA/counter/policy trở về baseline.

• Proposal và identity được owner phê duyệt.
• Clock/NTP và certificate chain hợp lệ.
• Capture/log che secret và payload nhạy cảm.
• Có clear/encrypted-side evidence.
• Chạy nhiều chu kỳ rekey, không chỉ một lần.
• DPD/failover có stop condition.
• Xác minh không có cleartext leakage.
• Rollback timer/policy và out-of-band access sẵn sàng.

Kết quả phụ thuộc CPU/crypto accelerator, offload, suite, MTU, NAT, timer, peer implementation và load. Một tunnel không chứng minh scale; lab lifetime ngắn không hoàn toàn giống vận hành dài ngày.

Capture encrypted side chỉ xác nhận ESP/UDP encapsulation, không tự chứng minh payload đúng; cần correlate với clear side và application. Báo cáo không chứa khóa và phải nêu phạm vi authorization.

• IKE SA: Kênh bảo mật điều khiển cho IKEv2.
• CHILD SA: SA bảo vệ traffic IPsec cụ thể.
• Rekey: Tạo SA/khóa mới trước khi SA cũ hết hạn.
• DPD/liveness: Phát hiện peer không còn phản hồi.
• NAT-T: Đóng gói ESP qua UDP khi có NAT.
• Anti-replay: Cửa sổ phát hiện packet lặp.