Waarom jou IPsec-tonnel werk tot die eerste CHILD SA-herleuteling

Die tonnel het opgekom, die ping het geantwoord en almal het afgeteken. Vier uur later val die sessie weg, die eweknieë teken ’n voorstel- of sleuteluitruilfout aan, en die eerste vermoede is dat iets op die netwerk verander het. Niks het verander nie. ’n Tonnel wat verkeer dra, het bewys dat die twee eweknieë dit eens is oor hoe om te verifieer en hoe om die eerste kind-assosiasie te beskerm, en dit het niks bewys oor die sleuteluitruiling wat hulle by hernuwing gaan eis nie. Die wanpassing sit in die gaping tussen daardie twee gebeurtenisse.

Gekoppel beteken nie dat die PFS-instellings ooreenstem nie

Met IKEv2 word die eerste kind-assosiasie tydens die verifikasie-uitruiling geskep, en sy sleutels word afgelei van materiaal wat die IKE-assosiasie reeds geproduseer het. Daar vind geen afsonderlike Diffie-Hellman-uitruiling vir daardie kind plaas nie, so ’n beleid wat een by hernuwing vereis, word nie by die opbou getoets nie.

Hernuwing is ’n ander uitruiling. Wanneer ’n kind-assosiasie herleutel word, kan die eweknieë ’n nuwe sleuteluitruiling doen met die groep wat in hulle voorstelle genoem word, en dit is die eerste oomblik waarop die groepinstellings vergelyk word. Twee eweknieë wat verskil, kan dus verifieer, ’n kind-assosiasie installeer en verkeer deurlaat, en dan by die herleuteling misluk.

Waar die wanpassing in die voorstelstring wegkruip

In strongSwan word die groep by die kind-voorstel aangeheg, en daarom lyk ’n string soos aes256gcm16-prfsha256-ecp256 na ’n enkripsiekeuse maar dra dit ook ’n sleuteluitruilvereiste. ’n Eweknie wat net aes256gcm16-prfsha256 aanbied, het nie so ’n vereiste nie, en die twee lyste oorvleuel by enkripsie terwyl hulle oor die uitruiling verskil.

Lees die kind-voorstel en die IKE-voorstel as afsonderlike lyste. ’n Groep wat in die IKE-lys voorkom, sê niks oor die kind-lys nie, en om die een te wysig terwyl jy die ander lees, is die gewone manier waarop dit gemis word.

Lees die fout, nie die lêer wat jy gewysig het nie

Vind die notify wat die uitruiling beëindig het. ’n Kind-herleuteling wat geen aanvaarbare voorstel terugstuur nie, wys na die voorstellyste; ’n herleutelingsversoek wat nooit antwoord kry nie, wys na die pad of na ’n eweknie wat opgehou luister het. Daardie twee verg verskillende regstellings, en die bewoording van die logreël skei hulle.

Bevestig die lopende konfigurasie eerder as die een op skyf. ’n Lêer wat gestoor maar nie gelaai is nie, of ’n verbinding wat uit ’n ander include herlees is, sal ’n wanpassing lewer wat geen hoeveelheid wysiging aan die sigbare lêer kan regstel nie.

Drie gebeurtenisse wat almal herleuteling genoem word

IKE-assosiasie-herleuteling, IKE-herverifikasie en kind-assosiasie-herleuteling is afsonderlike bewerkings met afsonderlike voorstelreëls. ’n Fout wat by een van hulle gerapporteer word, sê niks regstreeks oor die ander nie, en ’n log wat hulle vermeng, lees soos een herhalende fout wanneer dit drie is.

Let op watter gebeurtenis die eweknie noem, en kyk dan net na die voorstelle vir daardie gebeurtenis. Verander een lys, herlaai en dwing weer dieselfde gebeurtenis. As die log ’n herverifikasie noem, is die IKE-voorstel die een om te lees. As dit ’n kind-herleuteling noem, dra die kind-voorstel die groep wat saak maak.

Om hernuwing af te skakel, is nie ’n regstelling nie

Om die herleuteltyd op nul te stel, onderdruk die uitruiling wat misluk, en die tonnel oorleef dan totdat dit afgebreek word of die eweknie herbegin. Wat jy gekoop het, is ’n langer sleutel en ’n wanpassing wat jou weer sal ontmoet tydens ’n migrasie, ’n oudit of ’n verskaffer-opdatering. Dieselfde geld vir leeftye wat ver verby die beleid gestrek word wat die ander kant verwag.

Belyn die voorstelle eerder. Kies ’n groep wat albei eweknieë implementeer, sit dit aan beide kante in die kind-voorstel, en hou die hernuwingsbeleid binne die reeks wat die organisasie werklik vereis.

Bewys dit met die uitruiling wat misluk het

Verkort die kind-herleuteltyd in ’n onderhoudsvenster sodat die gebeurtenis in minute eerder as ure kom, of aktiveer ’n handmatige kind-herleuteling. Kyk dan vir ’n suksesvolle hernuwing en bevestig dat verkeer daardeur aanhou, want ’n nuwe handdruk wat ’n kind-assosiasie installeer maar die toepassingvloei laat val is ’n ander fout.

Herstel daarna die normale leeftyd en hou beide gebeurtenisrekords, die mislukte en die suksesvolle. Die bewys wat jy wil hê, is dat die verbinding sy eie lewensiklus oorleef, nie dat dit ’n ping oorleef het nie.