Açar dəyişdirmə, yenidən qoşulma və ya yenidən doğrulama: hansına ehtiyacınız var?

Saatlarla açıq qalmış sessiya eyni açarları əbədi saxlamır və bu, dizaynın bir hissəsidir. Üç fərqli hadisə açar rotasiyası adlanır: mövcud assosiasiya altında yeni sessiya materialı, bağlantının tam yenidən qurulması və kimlik yoxlamasının təkrarlanması. Hər birinin fərqli tetikleyicisi, fərqli xərci və fərqli uğursuzluq imzası var. Səhv olanı seçsəniz, düzəliş ya heç nə etmir, ya da tuneli lazımsız yerə söndürür.

Qərar hansı qatın həqiqətən bitdiyindən asılıdır.

Rotasiya adlandırılan üç əməliyyat

Açar dəyişdirmə mövcud idarəetmə əlaqəsi daxilində protokolun təyin etdiyi mexanizmlə yeni trafik açarları yaradır. IKEv2 bunu yeni child təhlükəsizlik assosiasiyası ilə, TLS 1.3 açar yeniləmə mesajı ilə, WireGuard isə vaxt və ya mesaj limitlərinə çatdıqda yeni əl sıxışması ilə edir. Tünel ünvanları və autentifikasiya edilmiş kimlik olduğu yerdə qalır.

Yenidən qoşulma bağlantını atır və onu əvvəldən yenidən qurur; bu, ünvan təyini, marşrut quraşdırılması və ilk cəhdin apardığı hər hansı razılaşmanı təkrarlayır.

Yenidən autentifikasiya kimlik sübutunun özünü təkrarlayır; bura etimad məlumatı, sertifikat və ya ikinci faktor daxil ola bilər. Bu, məhsuldan asılı olaraq yenidən qoşulma ilə və ya onsuz baş verə bilər.

İstifadəçilər yenilənmə zamanı nə görür

Açar dəyişdirmə demək olar ki, görünməz olmalıdır. Assosiasiya identifikatorları dəyişir, sayğaclar sıfırlana bilər, tətbiqlər isə öz soketlərini saxlayır; mübadilə zamanı bir istiqamətdə qısa fasilə normaldır. Status siyahısında yeni identifikator görmək nasazlığın sübutu deyil. Mübadilədən sonra gələn jurnal sətri onun bitib-bitmədiyini sizə deyən şeydir.

Yenilənmə zamanı real qopma konkret bir yerə işarə edir. Təklif uyğunsuzluğu, vaxtı keçmiş etimad məlumatı və ya yol dəyişikliyi hər biri fərqli jurnal sətri yaradır və onlardan yalnız biri ömür müddətlərini tənzimləməklə düzəldilir.

Üçü praktikada harada ayrılır

Əgər vaxtı bitən yeganə şey açar materialıdırsa, açar dəyişdirin. Əgər peer ünvanı, marşrut və ya NAT bağlantısı dəyişibsə və paketlər artıq gəlmirsə, yenidən qoşulun. Əgər təşkilat dövri kimlik yoxlaması tələb edirsə, bu yenidən autentifikasiyadır və heç bir ömür tənzimləməsi onu əvəz etmir.

Protokol defoltları adətən düzgün cavabı ehtiva edir. WireGuard heç bir istifadəçi müdaxiləsi olmadan vaxt və məlumat həcmi həddindən sonra açarı dəyişir; IKEv2 ömür müddətləri hər child assosiasiyası üçün razılaşdırılır; TLS əsaslı tunellər açarları mövcud sessiya daxilində rotasiya edir. Təkrarlanan xətanın qarşısını almaq üçün ömür müddətlərini artırmaq uğursuzluğu təxirə salır və açar sızdırılarsa məruz qalma müddətini uzadır.

Uzun sessiyalar üçün bir xəbərdarlıq vacibdir: təkcə tezlik irəliyə doğru məxfilik yaratmır. Bu xassə sessiya açarlarının uzunmüddətli sirlərlə necə əlaqələndiyindən və köhnə açarların məhv edilib-edilməməsindən asılıdır; bu isə tənzimləmə deyil, dizayn və tətbiq məsələsidir.

Defoltları seçin, sonra mərhələni qeyd edin

Sənədləşdirilmiş tələb başqa cür demirsə, satıcının defoltlarını saxlayın və ömür müddətlərini ümumiyyətlə dəyişirsinizsə, hər iki peer-də dəyişin. Sonra hər hadisənin hansı mərhələyə çatdığını qeyd edin ki, növbəti hal əl sıxışmasının eyni nöqtəsi ilə müqayisə oluna bilsin.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

Düzəlişdən sonra nəzarətli yenilənmə aparın və yeni assosiasiya üzərindən təzə tətbiq trafiki göndərin. Qurulduğunu bildirən, lakin heç nə ötürməyən tunel bu yoxlamanın tutmaq üçün mövcud olduğu uğursuzluqdur.