أعمار ارتباطات IKEv2: إعادة توليد المفاتيح اللينة، والانتهاء الصارم، وإعادة المصادقة المنفصلة

تحدد المؤقتات متى تُستبدل مفاتيح النفق، وغالبًا ما تُقرأ العتبتان المعنيتان على أنهما عتبة واحدة. لكنهما ليستا كذلك. يطلب العمر اللين من النظير بناء بديل بينما لا يزال ارتباط الأمان الحالي يحمل الحركة، أما العمر الصارم فهو الموعد النهائي الذي يزول بعده الارتباط القديم سواء نجح البديل أم لا. وبينهما تقع نافذة تداخل وُجدت حتى لا تسقط الحزم في فجوة.

ما الذي يحدّه العمر فعليًا

ارتباط أمان IPsec هو حزمة من الحالة التشفيرية: مفاتيح لاتجاه واحد، وفهرس معاملات أمان، ومجموعة خوارزميات، ومحدِّد. يحدّ العمر مدة السماح باستخدام تلك الحالة، وهو ما يقيّد حجم الحركة التي يحميها مفتاح واحد. إنه إجراء احتواء للمفتاح، وليس بيانًا عن المدة التي ينبغي أن تستمرها جلسة المستخدم.

لارتباطات تحكم IKE مفاتيحها وأعمارها الخاصة، منفصلة عن الارتباطات الفرعية التي تحمل البيانات. وهذا أول موضع يخلط فيه الناس بين جدولين.

اللين يبدأ الاستبدال، والصارم ينهي الحالة القديمة

عندما يقترب الحد اللين، يبدأ النظير عملية استبدال. تنفّذ التطبيقات ذلك عادةً مبكرًا وتُوزّع اللحظة عشوائيًا كي لا يعيد رأس الشبكة الذي يدير مئات الأنفاق توليد مفاتيحها كلها دفعة واحدة. في IKEv2 يكون الاستبدال تبادل CREATE_CHILD_SA يحمل أرقامًا عشوائية جديدة، إضافةً إلى تبادل Diffie-Hellman عند تهيئة السرية التامة الأمامية. والنتيجة زوج جديد من الارتباطات بمفاتيح جديدة.

التداخل مهم. لفترة قصيرة قد يحتفظ النظير بالارتباطين القديم والجديد، وقد يُظهر التقاط الحزم مجموعتين من المعرّفات. وهذا عمل الآلية، لا عيب فيها.

الحد الصارم لا يرحم. إذا لم يكتمل الاستبدال بحلول ذلك الحين، وجب سحب الارتباط القديم، وتتوقف الحركة التي لا يحميها سواه. إعادات توليد المفاتيح الفاشلة المتكررة التي تمضي حتى الانتهاء الصارم هي الإشارة التشغيلية إلى ضرورة التحقيق، لأن النفق يُدعم بموعد نهائي في كل دورة.

حدود الاستخدام قد تنطلق قبل أي مؤقت

الوقت ليس الحد الوحيد. يمكن للتطبيقات أن تحدّ عدد البايتات أو الحزم التي يحميها مفتاح واحد، والنفق المزدحم سيبلغ حد الاستخدام قبل مؤقت يمتد ساعات طويلة. يعرض strongSwan إعدادات منفصلة للعمر والهامش للوقت والبايتات والحزم، أي أن نقطة التجديد الفعلية هي العتبة التي تصل أولًا، ناقص الهامش المهيأ.

عندما يتجدد نفق أكثر بكثير مما توحي به ساعاته المهيأة، فتحقق من حدود البايتات والحزم قبل أن تلوم المؤقت. الوصلة المشبعة والوصلة الخاملة بالإعدادات الزمنية نفسها سيكون لهما معدلا إعادة توليد مفاتيح مختلفان بوضوح، وواحد فقط منهما يتبع المؤقت.

كل نظير يفرض سياسته الخاصة

لا يتفاوض IKEv2 على عمر واحد يجب أن يعرضه النظيران بالشكل نفسه. يطبّق كل طرف سياسته المحلية وقد يبدأ الاستبدال عندما يقترب حدّه، على النحو الموضح في RFC 7296 القسم 2.8. لذا فإن اختلاف الساعات المهيأة بين نظيرين ليس عيبًا تلقائيًا، وإن كانت القيم المتطايرة قد تسبب تقلبًا إذا ظل أحد الطرفين يستبدل حالة ثبّتها الآخر للتو.

التنسيق يعني سلوكًا متوافقًا: نوافذ تداخل تكفي للتبادل، وهوامش تترك مجالًا لإعادة المحاولة، ومراقبة تُظهر أي طرف بدأ كل تجديد.

إعادة توليد المفاتيح ليست إعادة مصادقة

إعادة توليد المفاتيح تُحدّث المفاتيح في ظل العلاقة الموثَّقة القائمة. أما إعادة المصادقة فتكرر فحص الهوية، سواء كان تبادل شهادات أو محادثة EAP. والاثنان يعملان وفق جدولين منفصلين، وإعادة توليد ناجحة لا تقول شيئًا عن وجوب استمرار وصول الحساب.

هذا التمييز مهم للإلغاء. تعطيل حساب أو إلغاء شهادة أو إنهاء جلسة قرارات وصول تحتاج سياسة صريحة في التطبيق؛ وهي لا تنبع من مؤقت ارتباط الأمان، وإعادة توليد المفاتيح قد تستمر بيسر لهوية سُحبت صلاحياتها بالفعل.

ما ينبغي تسجيله لكل نفق

سجّل أي ارتباط أطلق التجديد، والمعرّفات القديمة والجديدة، والعتبة التي انطلقت، وهل اكتمل الاستبدال داخل نافذة التداخل. هذه الحقول الأربعة تجعل مشكلة إعادة توليد المفاتيح مرئية قبل أن تصبح انقطاعًا، وتفرّق بين سياسة عدوانية وسياسة فاشلة.

أبقِ جدول إزالة الوصول بجوار ذلك السجل لا داخله. نظافة التشفير وسياسة الهوية ضابطان مختلفان، والنفق الذي يبدّل المفاتيح في الوقت المحدد قد يحتفظ مع ذلك بجلسة لم يقصد أحد إبقاءها.