Защо вашият IPsec тунел работи до първото обновяване на ключ на CHILD SA

Тунелът се вдигна, ping отговори и всички се подписаха. Четири часа по-късно сесията пада, двете страни записват грешка в предложението или в обмена на ключове, и първото предположение е, че нещо в мрежата се е променило. Нищо не се е променило. Тунел, който пренася трафик, е доказал, че двете страни са съгласни как да се автентикират и как да защитят първата дъщерна асоциация, и не е доказал нищо за обмена на ключове, който ще поискат при подновяването. Несъответствието стои в празнината между тези две събития.

Свързано не означава, че настройките на PFS съвпадат

При IKEv2 първата дъщерна асоциация се създава по време на обмена за автентикация и нейните ключове се извличат от материал, който IKE асоциацията вече е произвела. За тази дъщерна асоциация не се извършва отделен Diffie-Hellman обмен, затова политика, която изисква такъв при подновяване, не се проверява при вдигането.

Подновяването е друг обмен. Когато ключът на дъщерна асоциация се обновява, страните могат да извършат нов обмен на ключове с групата, посочена в техните предложения, и това е първият момент, в който настройките на групата се сравняват. Затова две страни, които не са съгласни, могат да се автентикират, да инсталират дъщерна асоциация и да пропускат трафик, а след това да се провалят при обновяването.

Къде се крие несъответствието в низа на предложението

В strongSwan групата се добавя към предложението за дъщерната асоциация, затова низ като aes256gcm16-prfsha256-ecp256 изглежда като избор на криптиране, но носи и изискване за обмен на ключове. Страна, която предлага само aes256gcm16-prfsha256 няма такова изискване и двата списъка се пресичат по криптиране, но се разминават по обмена.

Четете предложението за дъщерната асоциация и предложението на IKE като отделни списъци. Група, която се появява в списъка на IKE, не казва нищо за списъка на дъщерната асоциация, а редактирането на единия, докато четете другия, е обичайният начин това да се пропусне.

Четете отказа, а не файла, който редактирахте

Намерете notify, който е прекратил обмена. Обновяване на ключ на дъщерна асоциация, което връща „няма приемливо предложение“, сочи към списъците с предложения; заявка за обновяване, която никога не получава отговор, сочи към пътя или към страна, която е спряла да слуша. Тези две изискват различни поправки и формулировката на реда в журнала ги разделя.

Потвърдете работещата конфигурация, а не тази на диска. Файл, запазен, но незареден, или връзка, прочетена отново от друг include, ще дадат несъответствие, което никакво редактиране на видимия файл не може да поправи.

Три събития, които всички наричат обновяване на ключ

Обновяването на ключ на IKE асоциация, повторната автентикация на IKE и обновяването на ключ на дъщерна асоциация са отделни операции с отделни правила за предложения. Отказ, докладван при една от тях, не казва нищо пряко за другите, а журнал, който ги смесва, се чете като единична повтаряща се повреда, когато те са три.

Отбележете кое събитие назовава страната, после проверете предложенията само за това събитие. Променете един списък, презаредете и принудете същото събитие отново. Ако журналът назовава повторна автентикация, предложението на IKE е това, което трябва да се чете. Ако назовава обновяване на ключ на дъщерна асоциация, предложението за дъщерната асоциация носи групата, която има значение.

Изключването на подновяването не е поправка

Задаването на време за обновяване на ключа на нула потиска обмена, който се проваля, и тунелът после оцелява, докато не бъде разглобен или страната не се рестартира. Това, което сте купили, е по-дълготраен ключ и несъответствие, което ще срещнете отново при миграция, одит или актуализация от доставчик. Същото важи за срокове, разтегнати далеч отвъд политиката, която другата страна очаква.

Вместо това подравнете предложенията. Изберете група, която и двете страни реализират, поставете я в предложението за дъщерната асоциация от двата края и дръжте политиката за подновяване в диапазона, който организацията наистина изисква.

Докажете го с обмена, който се провали

Съкратете времето за обновяване на ключ на дъщерната асоциация в прозорец за поддръжка, така че събитието да дойде за минути, а не за часове, или задействайте ръчно обновяване. После наблюдавайте успешно подновяване и потвърдете, че трафикът продължава през него, защото ново ръкостискане, което инсталира дъщерна асоциация, но изпуска потока на приложението е различен дефект.

След това възстановете нормалния срок на живот и запазете двата записа за събитията — неуспешния и успешния. Доказателството, което искате, е, че връзката оцелява собствения си жизнен цикъл, а не че е оцеляла един ping.