IKEv2: açarın yenilənməsi və yenidən autentifikasiya — niyə sonra qopur

Tunnel səhər qalxır və saatlarla işləyir. Sonra qopur, bir cəhddən sonra yenidən qoşulur və növbəti gün eyni şeyi edir. Şəbəkədə heç nə dəyişmədi və heç kim parolaya toxunmadı. Yenilənmə sərhəddində uğursuz olan sessiyalar adətən iki fərqli əməliyyatdan birini keçir və onlardan yalnız biri etimadnamələrinizi yenidən yoxlayır. Hansının işə düşdüyünü oxumaq bütün diaqnozdur.

Kənardan oxşar görünən iki əməliyyat

Açarın yenilənməsi təhlükəsizlik assosiasiyalarını və ya açar materialını protokolun müəyyən etdiyi mübadilə çərçivəsində əvəz edir. Autentifikasiya təkrarlanmır, ona görə də sessiyanın əvvəlində qəbul edilmiş şəxsiyyət sadəcə irəli aparılır.

Yenidən autentifikasiya daha irəli gedir: təzə autentifikasiya edilmiş münasibət qurur, bu isə etimadnamələrin yenidən qiymətləndirilməsi deməkdir. Vaxtı keçmiş, ləğv edilmiş və ya kataloqda dəyişdirilmiş hər şey həmin anda görünür.

Açarın yenilənməsi əslində nəyi əvəz edir

IKEv2 ayrı həyat dövrləri olan iki növ assosiasiya saxlayır. IKE SA idarə kanalını qoruyur, CHILD SA-lar isə faktiki trafiki qoruyur. Birini yeniləmək müştərinin yenidən qoşulması ilə eyni məna deyil.

Bu ayrılıq tanış bir nümunəni izah edir: trafik yaxşı axır, sonra CHILD SA yenilənir və təklif artıq uyğun gəlmir, çünki kimsə həftələr əvvəl bir tərəfdə 2-ci fazanı redaktə etmişdi. Dəyişiklik yenilənmə onu işə salana qədər orada zərərsiz qaldı.

Ömür uyğunsuzluqları da eyni cür davranır. Hansı tərəf öz həddinə birinci çatırsa, mübadiləni o başladır, digəri isə qəbul etməlidir.

Yenidən autentifikasiya nəyi yenidən qiymətləndirir

Yenidən autentifikasiya zamanı girişdə etibarlı olan müştəri sertifikatı artıq vaxtı keçmiş ola bilər. Ləğv edilmiş etimadnamə, dəyişdirilmiş parol və ya əlçatmaz ikinci faktor burada, açarın yenilənməsi anında deyil, ortaya çıxır.

Buna görə hər ömrü uzatmaq düzəliş kimi görünür və düzəliş deyil. Siz yoxlamanı keçmək əvəzinə təxirə salmısınız. Növbəti yenilənmə eyni qüsurla və onu fərq etmək üçün daha qısa kəsinti pəncərəsi ilə gəlir.

Bəzi tətbiqlər yenidən autentifikasiya zamanı köhnə və yeni vəziyyəti üst-üstə qoyur. Digərləri qısa bir boşluq yaradır. Ona görə də iki satıcıda eyni parametrlər fərqli istifadəçi təcrübəsi verə bilər. Standartın bunu tələb etdiyini güman etmək əvəzinə davranışı sınayın.

Nəyisə dəyişməzdən əvvəl zaman nişanlarını oxuyun

Uğursuzluq anını assosiasiyanın əvvəlki və sonrakı vəziyyəti ilə birlikdə yazın. Köhnə assosiasiya autentifikasiya mübadiləsi olmadan əvəz edildisə, siz yenilənmə sərhəddində idiniz. Uğursuzluqdan dərhal əvvəl AUTH mübadiləsi görünürsə, siz yenidən autentifikasiyada idiniz.

strongSwan bunu ayrı parametrlər kimi təqdim edir: rekey açarın yenilənməsini idarə edir, reauth yeni autentifikasiyanın baş verib-vermədiyini idarə edir, margin dəyərləri isə hər birinin vaxtı bitməzdən nə qədər əvvəl başlayacağını müəyyən edir. açarın yenilənməsi sənədləri qarşılıqlı təsiri izah edir və forum yazısından ömür kopyalamazdan əvvəl oxumağa dəyər.

Bütün bunları adi şəbəkə itkisindən ayırın. Qopmuş link ölü peer aşkarlama hadisəsi və ya yenidən ötürmə fırtınası yaradır, uyğun təkliflərlə təmiz mübadilə deyil.

Uğursuz olan şeyi dəyişin

Etimadnamə rəddi şəxsiyyət probleminin düzəldilməsini tələb edir: sertifikatı yeniləyin, hesabı bərpa edin, faktoru yenidən qeydiyyatdan keçirin. Təklif və ya ömür uyğunsuzluğu parametrlərin iki tərəfdə müqayisəsini tələb edir.

Simptomdan qaçmaq üçün ömürləri uzatmaq həmişə işləmiş kimi görünən və heç vaxt işləməyən yeganə seçimdir.

Nəzarətli yenilənmə sınayın

Yenilənməni bir gün gözləmək əvəzinə məcbur edin. Sonra yerləşdirmə dəstəkləyirsə yenidən autentifikasiya ilə təkrarlayın və hər iki endpointi izləyin.

Uğurlu ilkin giriş bunların heç birini işə salmır. Ondan sonrakı həyat dövrü bu yerləşdirmələrin həqiqətən qırıldığı yerdir.