IKEv2: абнаўленне ключоў супраць паўторнай аўтэнтыфікацыі — чаму злучэнне пазней падае

Тунэль узнікае раніцай і працуе гадзінамі. Потым ён падае, перападключаецца пасля спробы і робіць тое ж самае на наступны дзень. У сетцы нічога не змянілася, і ніхто не чапаў пароль. Сесіі, якія зрываюцца на мяжы абнаўлення, звычайна перасякаюць адну з дзвюх розных аперацый, і толькі адна з іх зноў правярае вашыя ўліковыя даныя. Чытанне таго, якая з іх спрацавала, і ёсць увесь дыягназ.

Дзве аперацыі, якія звонку выглядаюць падобна

Абнаўленне ключоў замяняе асацыяцыі бяспекі або ключавы матэрыял у рамках вызначанага пратаколам абмену. Аўтэнтыфікацыя не паўтараецца, таму асоба, прынятая ў пачатку сесіі, проста пераносіцца наперад.

Паўторная аўтэнтыфікацыя ідзе далей: яна ўстанаўлівае свежыя аўтэнтыфікаваныя адносіны, што значыць паўторную ацэнку ўліковых даных. Усё, што скончылася, было адклікана або зменена ў каталозе, становіцца бачным у гэты момант.

Што абнаўленне ключоў насамрэч замяняе

IKEv2 трымае два тыпы асацыяцый з асобнымі жыццёвымі цыкламі. IKE SA абараняе канал кіравання, а CHILD SA абараняюць фактычны трафік. Абнаўленне аднаго не азначае перападключэння кліента.

Гэтае раздзяленне тлумачыць знаёмы ўзор: трафік ідзе добра, потым CHILD SA абнаўляецца, і прапанова больш не супадае, бо хтосьці тыдні раней змяніў фазу 2 на адным баку. Змена ляжала там бясшкодна, пакуль абнаўленне яе не кранула.

Няўзгодненасці тэрмінаў жыцця паводзяць сябе гэтак жа. Той бок, які першым дасягае сваёй мяжы, пачынае абмен, і іншы мусіць яго прыняць.

Што паўторная аўтэнтыфікацыя ацэньвае нанова

Пры паўторнай аўтэнтыфікацыі кліенцкі сертыфікат, што быў сапраўдны пры ўваходзе, можа ўжо скончыцца. Адкліканыя ўліковыя даныя, зменены пароль або недаступны другі фактар усплываюць менавіта тут, а не ў момант абнаўлення.

Вось чаму падаўжэнне кожнага тэрміна выглядае як выпраўленне, але ім не ёсць. Вы адклалі праверку замест таго, каб прайсці яе. Наступнае абнаўленне прыходзіць з тым жа дэфектам і з карацейшым акном, каб яго заўважыць.

Некаторыя рэалізацыі перакрываюць стары і новы стан падчас паўторнай аўтэнтыфікацыі. Іншыя ствараюць кароткі прамежак. Таму аднолькавыя налады ў двух пастаўшчыкоў могуць даваць розны вопыт карыстальніка. Тэстуйце паводзіны, а не мяркуйце, што стандарт гэта прадпісвае.

Чытайце часовыя пазнакі, перш чым нешта змяняць

Фіксуйце момант збою разам са станам асацыяцыі да і пасля. Калі старая асацыяцыя была заменена без абмену аўтэнтыфікацыі, вы былі на мяжы абнаўлення. Калі непасрэдна перад збоем бачны абмен AUTH, вы былі на паўторнай аўтэнтыфікацыі.

strongSwan падае гэта як асобныя налады: rekey кіруе абнаўленнем ключоў, reauth кіруе тым, ці адбываецца новая аўтэнтыфікацыя, а значэнні margin вырашаюць, наколькі загадзя да сканчэння пачынаецца кожная. дакументацыя па абнаўленні ключоў апісвае ўзаемадзеянне, і яе варта прачытаць, перш чым капіяваць тэрмін з паведамлення на форуме.

Адрознівайце ўсё гэта ад звычайнай страты сеткі. Абарваны канал стварае падзею выяўлення мёртвага партнёра або шквал перасыланняў, а не чысты абмен з супадаючымі прапановамі.

Змяніце тое, што зламалася

Адмова ўліковых даных патрабуе выправіць праблему асобы: абнавіце сертыфікат, аднавіце ўліковы запіс, паўторна зарэгіструйце фактар. Няўзгодненасць прапановы ці тэрміна патрабуе параўнаць параметры з абодвух бакоў.

Падаўжэнне тэрмінаў, каб пазбегнуць сімптома, — гэта адзіны варыянт, які заўсёды выглядае як спрацаваў і ніколі не спрацоўвае.

Праверце кіраванае абнаўленне

Прымусьце абнаўленне, а не чакайце яго суткі. Затым паўтарыце з паўторнай аўтэнтыфікацыяй, калі разгортванне яе падтрымлівае, і назірайце за абодвума канцамі.

Паспяховы першапачатковы ўваход нічога з гэтага не практыкуе. Жыццёвы цыкл пасля яго — менавіта там гэтыя разгортванні і ламаюцца.