IKEv2: подновяване на ключове срещу повторна автентикация — защо връзката пада по-късно

Тунелът се вдига сутринта и работи с часове. После пада, свързва се отново след повторен опит и на следващия ден прави същото. В мрежата нищо не се е променило и никой не е пипал парола. Сесиите, които се провалят на граница на подновяване, обикновено пресичат една от две различни операции и само една от тях проверява отново вашите идентификационни данни. Да прочетете коя е сработила — това е целият диагноз.

Две операции, които отвън изглеждат еднакво

Подновяването на ключове заменя защитните асоциации или ключовия материал в рамките на дефинирания от протокола обмен. Автентикацията не се повтаря, затова самоличността, приета в началото на сесията, просто се пренася напред.

Повторната автентикация отива по-далеч: тя установява нова автентикирана връзка, което означава, че идентификационните данни се оценяват отново. Всичко, което е изтекло, било е отменено или е променено в директорията, става видимо в този момент.

Какво всъщност заменя подновяването на ключове

IKEv2 поддържа два вида асоциации с отделни жизнени цикли. IKE SA защитава контролния канал, а CHILD SA защитават действителния трафик. Подновяването на една от тях не е синоним на повторно свързване на клиента.

Това разделение обяснява познат модел: трафикът тече нормално, после CHILD SA се подновява и предложението вече не съвпада, защото някой е редактирал фаза 2 от едната страна преди седмици. Промяната е стояла там безвредно, докато подновяването не я задейства.

Несъответствията в живота на асоциациите се държат по същия начин. Която страна първа достигне своя лимит, тя започва обмена, а другата трябва да го приеме.

Какво преоценява повторната автентикация

При повторна автентикация клиентският сертификат, който е бил валиден при влизане, може вече да е изтекъл. Отменени идентификационни данни, сменена парола или недостъпен втори фактор излизат тук, а не по време на подновяването.

Ето защо удължаването на всеки срок изглежда като поправка, а не е. Отложили сте проверката, вместо да я преминете. Следващото подновяване идва със същия дефект и с по-кратък прозорец, в който да го забележите.

Някои реализации припокриват старо и ново състояние по време на повторната автентикация. Други създават кратка пауза. Затова еднакви настройки при двама доставчици могат да дадат различно потребителско изживяване. Тествайте поведението, вместо да предполагате, че стандартът го налага.

Прочетете времевите маркери, преди да променяте нещо

Запишете момента на отказа заедно със състоянието на асоциацията преди и след него. Ако старата асоциация е била заменена без обмен на автентикация, били сте на граница на подновяване. Ако точно преди отказа се появи обмен AUTH, били сте при повторна автентикация.

strongSwan предлага това като отделни настройки: rekey управлява подновяването на ключовете, reauth управлява дали се извършва нова автентикация, а стойностите margin решават колко предварително преди изтичането започва всяка от тях. документацията за подновяване на ключове описва взаимодействието и си заслужава да се прочете, преди да копирате срок от форумен пост.

Различавайте всичко това от обикновена загуба на мрежа. Прекъснатата връзка произвежда събитие за откриване на мъртъв партньор или буря от повторни предавания, а не чист обмен със съвпадащи предложения.

Променете нещото, което се провали

Отхвърлянето на идентификационни данни изисква да се поправи проблемът със самоличността: подновете сертификата, възстановете акаунта, регистрирайте отново фактора. Несъответствие в предложението или срока изисква параметрите да се сравнят от двете страни.

Разтягането на срокове, за да се избегне симптомът, е единствената опция, която винаги изглежда, че е проработила, и никога не проработва.

Тествайте контролирано подновяване

Форсирайте подновяването, вместо да чакате ден за него. После го повторете с повторна автентикация, ако внедряването я поддържа, и наблюдавайте и двата края.

Успешното първоначално влизане не упражнява нищо от това. Жизненият цикъл след него е мястото, където тези внедрявания наистина се чупят.