IKEv2: تجديد المفاتيح مقابل إعادة المصادقة — لماذا تنقطع الجلسة لاحقًا

يبدأ النفق في الصباح ويعمل لساعات. ثم ينقطع، ويعيد الاتصال بعد محاولة إعادة، ويفعل الشيء نفسه في اليوم التالي. لم يتغير شيء على الشبكة ولم يلمس أحد كلمة مرور. الجلسات التي تفشل عند حد التجديد تعبر عادةً إحدى عمليتين مختلفتين، وواحدة فقط منهما تعيد فحص بيانات الاعتماد الخاصة بك. قراءة أيّهما عملت هي التشخيص كله.

عمليتان تبدوان متشابهتين من الخارج

تجديد المفاتيح يستبدل ارتباطات الأمان أو المادة المفتاحية وفق التبادل الذي يحدده البروتوكول. لا تتكرر المصادقة، لذا تُنقل الهوية التي قُبلت عند بداية الجلسة إلى الأمام مباشرةً.

إعادة المصادقة تذهب أبعد من ذلك: فهي تنشئ علاقة موثقة جديدة، ما يعني إعادة تقييم بيانات الاعتماد. كل ما انتهت صلاحيته أو أُلغي أو تغيّر في الدليل يصبح ظاهرًا في تلك اللحظة.

ما يستبدله التجديد في الواقع

يحتفظ IKEv2 بنوعين من الارتباط بدورتي حياة منفصلتين. يحمي IKE SA قناة التحكم، بينما تحمي CHILD SA حركة المرور الفعلية. تجديد أحدهما ليس مرادفًا لإعادة اتصال العميل.

يفسّر هذا الفصل نمطًا مألوفًا: تتدفق حركة المرور بلا مشكلة، ثم يُجدَّد CHILD SA فلا يطابق المقترح بعد ذلك لأن أحدهم عدّل الطور 2 على أحد الجانبين قبل أسابيع. بقي التغيير هناك بلا أثر إلى أن مارسه التجديد.

تتصرف اختلافات مدة الحياة بالطريقة نفسها. أيّ نظير يبلغ حده أولًا يبدأ التبادل، وعلى الآخر أن يقبله.

ما تعيد إعادة المصادقة تقييمه

مع إعادة المصادقة، قد تكون شهادة العميل التي كانت صالحة عند تسجيل الدخول قد انتهت الآن. بيانات اعتماد ملغاة أو كلمة مرور مدوّرة أو عامل ثانٍ غير متاح كلها تظهر هنا لا عند وقت التجديد.

لهذا فإن تمديد كل مدة حياة يبدو كإصلاح وليس إصلاحًا. لقد أجّلت الفحص بدل أن تجتازه. يصل التجديد التالي بالعيب نفسه وبفترة انقطاع أقصر لملاحظته.

بعض التطبيقات تتراكب فيها الحالة القديمة والجديدة أثناء إعادة المصادقة. وبعضها ينتج فجوة قصيرة. لذا قد تعطي إعدادات متطابقة لدى مورّدين مختلفين تجارب مستخدم مختلفة. اختبر السلوك بدل افتراض أن المعيار يفرضه.

اقرأ الطوابع الزمنية قبل تغيير أي شيء

التقط لحظة الفشل مع حالة الارتباط قبلها وبعدها. إذا استُبدل الارتباط القديم دون تبادل مصادقة، فكنت عند حد تجديد. وإذا ظهر تبادل AUTH قبل الفشل مباشرةً، فكنت عند إعادة مصادقة.

توثّق strongSwan ذلك كإعدادات منفصلة: rekey يتحكم في تجديد المفاتيح، وreauth يتحكم في ما إذا تحدث مصادقة جديدة، وتحدد قيم الهامش كم يسبق كل منهما الانتهاء. وثائق إعادة التجديد تشرح التفاعل، ويستحق قراءتها قبل نسخ مدة حياة من منشور منتدى.

ميّز كل هذا عن فقدان شبكة عادي. الرابط المنقطع ينتج حدث كشف النظير الميت أو عاصفة إعادة إرسال، لا تبادلًا نظيفًا بمقترحات متطابقة.

غيّر الشيء الذي فشل

رفض بيانات الاعتماد يحتاج إلى إصلاح مشكلة الهوية: جدّد الشهادة، واستعد الحساب، وأعد تسجيل العامل. عدم تطابق المقترح أو مدة الحياة يحتاج إلى مقارنة المعاملات على الجانبين.

تمديد مدد الحياة لتجنب العَرَض هو الخيار الوحيد الذي يبدو دائمًا أنه نجح ولا ينجح أبدًا.

اختبر تجديدًا مضبوطًا

افرض التجديد بدل انتظار يوم كامل له. ثم كرّر مع إعادة مصادقة إن كان النشر يدعمها، وراقب الطرفين.

تسجيل الدخول الأول الناجح لا يمارس أيًا من هذا. دورة الحياة بعده هي حيث تتعطل هذه النشرات فعليًا.