IKEv2-এর জীবনকাল: নরম পুনঃকী, কঠিন মেয়াদোত্তীর্ণ, আলাদা পুনঃপ্রমাণীকরণ

টাইমার ঠিক করে কখন টানেলের কী প্রতিস্থাপিত হবে, আর জড়িত দুটি থ্রেশহোল্ডকে প্রায়ই একটিই বলে পড়া হয়। তা নয়। নরম জীবনকাল পিয়ারকে প্রতিস্থাপন তৈরি করতে বলে, যখন বর্তমান নিরাপত্তা সংযোগ এখনও ট্র্যাফিক বহন করছে, আর কঠিন জীবনকাল হলো সেই সময়সীমা, যার পরে পুরোনো সংযোগ চলে যায়, প্রতিস্থাপন কাজ করুক বা না করুক। তাদের মাঝে থাকে একটি ওভারল্যাপ উইন্ডো, যা আছে যাতে প্যাকেট কোনো ফাঁকে না পড়ে।

জীবনকাল আসলে কী সীমাবদ্ধ করে

একটি IPsec নিরাপত্তা সংযোগ হলো ক্রিপ্টোগ্রাফিক অবস্থার একটি বান্ডল: এক দিকের কী, একটি নিরাপত্তা প্যারামিটার সূচক, একটি অ্যালগরিদম সেট এবং একটি সিলেক্টর। জীবনকাল সীমাবদ্ধ করে সেই অবস্থা কতদিন ব্যবহার করা যাবে, যা সীমিত করে একটি কী কত ট্র্যাফিক সুরক্ষিত রাখে। এটি কী-এর জন্য একটি ধারণমূলক ব্যবস্থা, ব্যবহারকারীর সেশন কতক্ষণ স্থায়ী হওয়া উচিত সে বিষয়ে কোনো বিবৃতি নয়।

IKE নিয়ন্ত্রণ সংযোগের নিজস্ব কী ও নিজস্ব জীবনকাল থাকে, যা ডেটা বহনকারী চাইল্ড সংযোগ থেকে আলাদা। এখানেই মানুষ প্রথম দুটি সময়সূচি গুলিয়ে ফেলে।

নরম প্রতিস্থাপন শুরু করে, কঠিন পুরোনো অবস্থা শেষ করে

নরম থ্রেশহোল্ড ঘনিয়ে এলে পিয়ার প্রতিস্থাপন শুরু করে। বাস্তবায়ন সাধারণত আগেভাগেই চলে এবং মুহূর্তটিকে এলোমেলো করে, যাতে শত শত টানেলযুক্ত একটি হেডএন্ড একসাথে সবগুলো পুনঃকী না করে। IKEv2-তে প্রতিস্থাপন হলো নতুন নন্স বহনকারী একটি CREATE_CHILD_SA বিনিময়, সঙ্গে Diffie-Hellman বিনিময়, যখন নিখুঁত ফরোয়ার্ড সিক্রেসি কনফিগার করা থাকে। ফল হলো নতুন কী-সহ নতুন এক জোড়া সংযোগ।

ওভারল্যাপ গুরুত্বপূর্ণ। অল্প সময়ের জন্য পিয়ার পুরোনো ও নতুন সংযোগ দুটোই ধরে রাখতে পারে, এবং একটি ক্যাপচার দুই সেট শনাক্তকারী দেখাতে পারে। এটি প্রক্রিয়াটির কাজ, কোনো ত্রুটি নয়।

কঠিন থ্রেশহোল্ড নাছোড়। যদি ততক্ষণে প্রতিস্থাপন সম্পূর্ণ না হয়, পুরোনো সংযোগ বাতিল করতে হবে এবং কেবল তার মাধ্যমে সুরক্ষিত ট্র্যাফিক থেমে যায়। বারবার ব্যর্থ পুনঃকী, যেগুলো কঠিন মেয়াদ পর্যন্ত গড়ায় তদন্তের অপারেশনাল সংকেত, কারণ টানেল প্রতি চক্রে একটি সময়সীমার ওপর ভর করে দাঁড়িয়ে থাকে।

ব্যবহারের সীমা যেকোনো ঘড়ির আগেই চালু হতে পারে

সময়ই একমাত্র সীমা নয়। বাস্তবায়ন একটি কী দিয়ে সুরক্ষিত বাইট বা প্যাকেটের সীমা দিতে পারে, আর ব্যস্ত টানেল বহু ঘণ্টার টাইমারের অনেক আগেই ব্যবহারের সীমায় পৌঁছাবে। strongSwan সময়, বাইট ও প্যাকেটের জন্য আলাদা জীবনকাল ও মার্জিন সেটিংস দেয়, অর্থাৎ কার্যকর নবায়ন বিন্দু হলো যে থ্রেশহোল্ড আগে আসে, বিয়োগ কনফিগার করা মার্জিন।

কোনো টানেল যদি তার কনফিগার করা ঘণ্টার ইঙ্গিতের চেয়ে অনেক বেশি ঘন ঘন নবায়ন হয়, তবে ঘড়িকে দোষ দেওয়ার আগে বাইট ও প্যাকেটের সীমা দেখুন। একই সময় সেটিংসযুক্ত একটি সম্পৃক্ত লিংক ও একটি নিষ্ক্রিয় লিংকের পুনঃকী হার দৃশ্যত আলাদা হবে, এবং তাদের মধ্যে কেবল একটি টাইমার মানছে।

প্রতিটি পিয়ার নিজের নীতি প্রয়োগ করে

IKEv2 এমন একক জীবনকাল নিয়ে দরকষাকষি করে না যা উভয় পিয়ারকে অভিন্নভাবে দেখাতে হবে। প্রতিটি পক্ষ তার স্থানীয় নীতি প্রয়োগ করে এবং নিজের সীমা ঘনিয়ে এলে প্রতিস্থাপন শুরু করতে পারে, যেমন RFC 7296 ধারা 2.8-এ বর্ণিত। তাই দুই পিয়ারের কনফিগার করা ঘণ্টার অমিল স্বয়ংক্রিয়ভাবে ত্রুটি নয়, যদিও ভয়ানক ভিন্ন মান অস্থিরতা তৈরি করতে পারে, যদি এক পক্ষ অন্যের সদ্য স্থাপিত অবস্থা বারবার প্রতিস্থাপন করে।

সমন্বয় মানে সামঞ্জস্যপূর্ণ আচরণ: বিনিময়ের জন্য যথেষ্ট দীর্ঘ ওভারল্যাপ উইন্ডো, পুনরায় চেষ্টার জায়গা রাখা মার্জিন, এবং পর্যবেক্ষণ যা দেখায় কোন পক্ষ প্রতিটি নবায়ন শুরু করেছে।

পুনঃকী পুনঃপ্রমাণীকরণ নয়

একটি পুনঃকী বিদ্যমান প্রমাণিত সম্পর্কের অধীনে কী সতেজ করে। একটি পুনঃপ্রমাণীকরণ পরিচয় যাচাই পুনরাবৃত্তি করে, সেটি সার্টিফিকেট বিনিময় হোক বা EAP কথোপকথন। দুটি আলাদা সময়সূচিতে চলে এবং সফল পুনঃকী অ্যাকাউন্টের প্রবেশাধিকার থাকা উচিত কি না সে বিষয়ে কিছুই বলে না।

এই পার্থক্য প্রত্যাহারের জন্য গুরুত্বপূর্ণ। অ্যাকাউন্ট নিষ্ক্রিয় করা, সার্টিফিকেট প্রত্যাহার করা বা সেশন শেষ করা হলো প্রবেশাধিকার সিদ্ধান্ত, যেগুলোর জন্য বাস্তবায়নে স্পষ্ট নীতি দরকার; এগুলো SA টাইমার থেকে আসে না, এবং ইতিমধ্যে অধিকারহীন একটি পরিচয়ের জন্য পুনঃকী নির্দ্বিধায় চলতে পারে।

প্রতি টানেলে কী লিপিবদ্ধ করবেন

কোন সংযোগ নবায়নটি ঘটিয়েছে, পুরোনো ও নতুন শনাক্তকারী, কোন থ্রেশহোল্ড চালু হয়েছে এবং ওভারল্যাপের ভেতরে প্রতিস্থাপন সম্পূর্ণ হয়েছে কি না তা লিখুন। এই চারটি ক্ষেত্র পুনঃকী সমস্যাকে বিভ্রাট হওয়ার আগেই দৃশ্যমান করে এবং আক্রমণাত্মক নীতিকে ব্যর্থ নীতি থেকে আলাদা করে।

প্রবেশাধিকার অপসারণের সময়সূচি সেই রেকর্ডের ভেতরে নয়, পাশে রাখুন। ক্রিপ্টোগ্রাফিক পরিচ্ছন্নতা ও পরিচয় নীতি ভিন্ন নিয়ন্ত্রণ, এবং সময়মতো কী ঘোরানো একটি টানেল এখনও এমন সেশন ধরে রাখতে পারে যা কেউ রাখতে চায়নি।