Тэрміны жыцця SA ў IKEv2: мяккае пераключэнне, жорсткае заканчэнне, асобная паўторная аўтэнтыфікацыя

Таймеры вызначаюць, калі ключы тунэля замяняюцца, і два задзейнічаныя парогі часта чытаюцца як адзін. Але гэта не так. Мяккі тэрмін жыцця просіць партнёра пабудаваць замену, пакуль бягучая асацыяцыя бяспекі яшчэ нясе трафік, а жорсткі тэрмін — гэта крайні тэрмін, пасля якога старая асацыяцыя знікае, спрацавала замена ці не. Паміж імі ляжыць акно перакрыцця, якое існуе, каб пакеты не траплялі ў разрыў.

Што насамрэч абмяжоўвае тэрмін жыцця

Асацыяцыя бяспекі IPsec — гэта збор крыптаграфічнага стану: ключы для аднаго кірунку, індэкс параметраў бяспекі, набор алгарытмаў і селектар. Тэрмін жыцця абмяжоўвае, як доўга гэты стан можна выкарыстоўваць, што абмяжоўвае аб'ём трафіку, які абараняе адзін ключ. Гэта мера стрымлівання для ключа, а не сцвярджэнне пра тое, колькі павінна доўжыцца сесія карыстальніка.

Кіраўнічыя асацыяцыі IKE маюць уласныя ключы і ўласныя тэрміны жыцця, асобна ад даччыных асацыяцый, якія нясуць даныя. Менавіта тут людзі ўпершыню блытаюць два графікі.

Мяккі старт замяняе, жорсткі сканчае стары стан

Калі мяккі парог набліжаецца, партнёр пачынае замену. Рэалізацыі звычайна спрацоўваюць рана і рандомізуюць момант, каб галаўны вузел з сотнямі тунэляў не пераключаў усе ключы адначасова. У IKEv2 замена — гэта абмен CREATE_CHILD_SA з свежымі nonce, плюс абмен Diffie-Hellman, калі наладжана ідэальная прамая сакрэтнасць. Вынік — новая пара асацыяцый з новымі ключамі.

Перакрыццё важнае. Кароткі час партнёр можа трымаць старую і новую асацыяцыі, і запіс трафіку можа паказаць два наборы ідэнтыфікатараў. Гэта праца механізму, а не няспраўнасць.

Жорсткі парог не даруе. Калі замена не завершана да таго часу, старую асацыяцыю трэба вывесці з эксплуатацыі, і трафік, які абараняўся толькі ёй, спыняецца. Паўторныя няўдалыя пераключэнні, якія цягнуцца аж да жорсткага заканчэння — гэта аперацыйны сігнал для расследавання, бо тунэль кожны цыкл трымаецца на крайнім тэрміне.

Ліміты выкарыстання могуць спрацаваць раней за любы гадзіннік

Час — не адзіная мяжа. Рэалізацыі могуць абмяжоўваць байты або пакеты, якія абараняе адзін ключ, і заняты тунэль дасягне ліміту выкарыстання значна раней за шматгадзінны таймер. strongSwan прапануе асобныя налады тэрміну жыцця і запасу для часу, байтаў і пакетаў, гэта значыць эфектыўны пункт абнаўлення — гэта той парог, які настане першым, мінус наладжаны запас.

Калі тунэль абнаўляецца нашмат часцей, чым мяркуюць яго наладжаныя гадзіны, праверце ліміты байтаў і пакетаў, перш чым вінаваціць гадзіннік. Насычаная лінія і прастойная лінія з аднолькавымі наладамі часу будуць мець прыкметна розныя тэмпы пераключэння, і толькі адна з іх ідзе за таймерам.

Кожны партнёр ужывае сваю палітыку

IKEv2 не ўзгадняе адзіны тэрмін жыцця, які абодва партнёры павінны паказваць аднолькава. Кожны бок ужывае сваю лакальную палітыку і можа пачаць замену, калі набліжаецца ўласны ліміт, як апісана ў RFC 7296 раздзел 2.8. Таму неадпаведнасць наладжаных гадзін двух партнёраў не з'яўляецца аўтаматычным дэфектам, хаця вельмі розныя значэнні могуць выклікаць мітусню, калі адзін бок увесь час замяняе стан, які другі толькі што ўсталяваў.

Каардынацыя азначае сумяшчальныя паводзіны: акны перакрыцця, дастаткова доўгія для абмену, запасы, якія пакідаюць месца для паўтораў, і маніторынг, які паказвае, які бок пачаў кожнае абнаўленне.

Пераключэнне ключоў — не паўторная аўтэнтыфікацыя

Пераключэнне абнаўляе ключы ў межах існуючых аўтэнтыфікаваных адносін. Паўторная аўтэнтыфікацыя паўтарае праверку асобы, ці то абмен сертыфікатамі, ці размова EAP. Яны ідуць па асобных графіках, і паспяховае пераключэнне нічога не кажа пра тое, ці павінен уліковы запіс па-ранейшаму мець доступ.

Гэтае адрозненне важнае для адклікання. Адключэнне ўліковага запісу, адкліканне сертыфіката або завяршэнне сесіі — гэта рашэнні аб доступе, якія патрабуюць яўнай палітыкі ў рэалізацыі; яны не вынікаюць з таймера SA, і пераключэнне можа спакойна працягвацца для асобы, у якой ужо адабраныя правы.

Што запісваць па кожным тунэлі

Запісвайце, якая асацыяцыя выклікала абнаўленне, старыя і новыя ідэнтыфікатары, які парог спрацаваў і ці завяршылася замена ў межах перакрыцця. Гэтыя чатыры палі робяць праблему пераключэння бачнай да таго, як яна стане аварыяй, і адрозніваюць агрэсіўную палітыку ад той, што дае збой.

Трымайце графік зняцця доступу побач з гэтым запісам, а не ўнутры яго. Крыптаграфічная гігіена і палітыка ідэнтычнасці — розныя сродкі кантролю, і тунэль, які своечасова змяняе ключы, можа ўсё яшчэ трымаць сесію, якую ніхто не збіраўся захоўваць.