IKEv2: sleutelhernuwing teenoor herverifikasie — waarom die verbinding later afbreek

Die tonnel kom in die oggend op en werk vir ure. Dan val dit weg, herverbind ná een nuwe poging, en doen die volgende dag weer dieselfde ding. Niks het op die netwerk verander nie en niemand het ’n wagwoord aangeraak nie. Sessies wat by ’n hernuwingsgrens misluk, kruis gewoonlik een van twee verskillende bewerkings, en net een van hulle kontroleer jou geloofsbrieë weer. Die lees daarvan watter een gevuur het, is die hele diagnose.

Twee bewerkings wat van buite soortgelyk lyk

Sleutelhernuwing vervang sekuriteitsassosiasies of sleutelmateriaal onder die protokol se gedefinieerde uitwisseling. Verifikasie word nie herhaal nie, so die identiteit wat aan die begin van die sessie aanvaar is, word bloot voortgedra.

Herverifikasie gaan verder: dit stel ’n nuwe geauthentiseerde verhouding op, wat beteken die geloofsbrieë word weer geëvalueer. Enigiets wat vervallen is, ingetrek is of in die gids verander is, word op daardie oomblik sigbaar.

Wat ’n sleutelhernuwing werklik vervang

IKEv2 hou twee soorte assosiasie met aparte lewenssiklusse. Die IKE SA beskerm die beheerkanaal, en CHILD SA-assosiasies beskerm die werklike verkeer. Om een te vernuwe is nie ’n sinoniem vir die herverbinding van die kliënt nie.

Daardie skeiding verklaar ’n bekende patroon: verkeer vloei goed, dan word ’n CHILD SA vernuwe en die voorstel pas nie meer nie omdat iemand weeke vroeër fase 2 op een kant geredigeer het. Die verandering het onskadelik daar gesit totdat die hernuwing dit uitgeoefen het.

Lewensduur-wanpassings gedra hulle dieselfde. Watter eweknie eerste sy limiet bereik, begin die uitwisseling, en die ander een moet dit aanvaar.

Wat herverifikasie herwaardeer

Met herverifikasie kan die kliëntsertifikaat wat by aanmelding geldig was, nou vervallen wees. ’n Ingetrekte geloofsbrief, ’n geroteerde wagwoord of ’n onbeskikbare tweede faktor kom almal hier op, eerder as by hernuwingstyd.

Dit is waarom die verlenging van elke lewensduur soos ’n regstelling voel en nie een is nie. Jy het die kontrole uitgestel eerder as om dit te slaag. Die volgende hernuwing kom met dieselfde defek en ’n korter onderbrekingsvenster om dit te merk.

Sommige implementasies oorlê ou en nuwe toestand tydens herverifikasie. Ander produseer ’n kort gaping. Identiese instellings by twee verskaffers kan dus verskillende gebruikerservaringe gee. Toets die gedrag eerder as om aan te neem die standaard bepaal dit.

Lees die tydstempels voor jy enigiets verander

Vang die oomblik van mislukking saam met die assosiasietoestand voor en na. As die ou assosiasie vervang is sonder ’n verifikasie-uitwisseling, was jy by ’n hernuwingsgrens. As ’n AUTH-uitwisseling reg voor die mislukking verskyn, was jy by ’n herverifikasie.

strongSwan bied dit as aparte instellings: rekey beheer sleutelhernuwing, reauth beheer of ’n nuwe verifikasie plaasvind, en margewaardes bepaal hoe ver voor die vervaldatum elkeen begin. hernuwingsdokumentasie beskryf die interaksie, en dit is die moeite werd om dit te lees voordat jy ’n lewensduur uit ’n forumpos kopieer.

Onderscheid dit alles van ’n gewone netwerkverlies. ’n Afgebroken skakel produseer ’n dooie-eweknie-opsporing-gebeurtenis of ’n herversendingstorm, nie ’n skoon uitwisseling met passende voorstelle nie.

Verander die ding wat misluk het

’n Geloofsbrief-verwerping vereis dat die identiteitsprobleem reggestel word: vernuwe die sertifikaat, herstel die rekening, herinskryf die faktor. ’n Voorstel- of lewensduur-wanpassing vereis dat die parameters op beide kante vergelyk word.

Die verlenging van lewensdure om die simptoom te vermy is die een opsie wat altyd lyk asof dit gewerk het en nooit doen nie.

Toets ’n beheerde hernuwing

Forseer die hernuwing eerder as om ’n dag daarvoor te wag. Herhaal dan met ’n herverifikasie as die ontplooiing een ondersteun, en kyk na beide eindpunte.

’n Suksesvolle aanvanklike aanmelding oefen niks hiervan nie. Die lewenssiklus daarna is waar hierdie ontplooiings werklik breek.