Zašto vaš IPsec tunel radi do prvog obnavljanja ključa CHILD SA

Tunel se podigao, ping je odgovorio i svi su potpisali. Četiri sata kasnije sesija padne, strane zabilježe grešku u predlogu ili razmjeni ključeva, a prva pretpostavka je da se nešto promijenilo na mreži. Ništa se nije promijenilo. Tunel koji prenosi saobraćaj dokazao je da se dvije strane slažu kako da se autentificiraju i kako da zaštite prvu podređenu asocijaciju, a nije dokazao ništa o razmjeni ključeva koju će zahtijevati pri obnavljanju. Nesklad leži u praznini između ta dva događaja.

Povezanost ne znači da se PFS postavke slažu

Uz IKEv2, prva podređena asocijacija nastaje tokom razmjene autentifikacije, a njeni ključevi se izvode iz materijala koji je IKE asocijacija već proizvela. Za tu podređenu asocijaciju se ne odvija zasebna Diffie-Hellman razmjena, pa se politika koja je zahtijeva pri obnavljanju ne provjerava pri podizanju.

Obnavljanje je druga razmjena. Kada se ključ podređene asocijacije obnovi, strane mogu izvesti novu razmjenu ključeva s grupom navedenom u njihovim predlozima, i to je prvi trenutak kada se postavke grupe porede. Zato dvije strane koje se ne slažu mogu da se autentificiraju, instaliraju podređenu asocijaciju i propuštaju saobraćaj, a zatim ne uspiju pri obnavljanju.

Gdje se nesklad krije u nizu predloga

U strongSwanu se grupa dodaje na predlog podređene asocijacije, zbog čega niz poput aes256gcm16-prfsha256-ecp256 izgleda kao izbor šifriranja, ali nosi i zahtjev za razmjenu ključeva. Strana koja nudi samo aes256gcm16-prfsha256 nema takav zahtjev, a dvije liste se sijeku u šifriranju dok se razilaze u razmjeni.

Čitajte predlog podređene asocijacije i IKE predlog kao odvojene liste. Grupa koja se pojavljuje u IKE listi ne govori ništa o listi podređene asocijacije, a uređivanje jedne dok čitate drugu uobičajen je način da se to propusti.

Čitajte neuspjeh, a ne datoteku koju ste uredili

Pronađite notify koji je okončao razmjenu. Obnavljanje ključa podređene asocijacije koje vraća „nema prihvatljivog predloga“ ukazuje na liste predloga; zahtjev za obnavljanje koji nikada ne dobije odgovor ukazuje na putanju ili na stranu koja je prestala slušati. Ta dva slučaja traže različite popravke, a formulacija linije u dnevniku ih razdvaja.

Potvrdite radnu konfiguraciju, a ne onu na disku. Datoteka sačuvana ali ne učitana, ili veza ponovo pročitana iz drugog include-a, proizvest će nesklad koji nikakvo uređivanje vidljive datoteke ne može ispraviti.

Tri događaja koja svi nazivaju obnavljanjem ključa

Obnavljanje ključa IKE asocijacije, ponovna autentifikacija IKE i obnavljanje ključa podređene asocijacije odvojene su operacije s odvojenim pravilima predloga. Neuspjeh prijavljen na jednoj od njih ne govori ništa direktno o ostalima, a dnevnik koji ih miješa čita se kao jedan ponavljajući kvar dok su tri.

Zabilježite koji događaj strana navodi, pa provjerite predloge samo za taj događaj. Promijenite jednu listu, ponovo učitajte i ponovo izazovite isti događaj. Ako dnevnik navodi ponovnu autentifikaciju, IKE predlog je onaj koji treba čitati. Ako navodi obnavljanje ključa podređene asocijacije, predlog podređene asocijacije nosi grupu koja je bitna.

Isključivanje obnavljanja nije popravka

Postavljanje vremena obnavljanja ključa na nulu potiskuje razmjenu koja ne uspijeva, a tunel zatim preživi dok se ne razmontira ili strana ne restartuje. Ono što ste kupili jest ključ koji duže traje i nesklad koji će vas ponovo sresti tokom migracije, revizije ili ažuriranja dobavljača. Isto vrijedi i za životne vijekove razvučene daleko iznad politike koju druga strana očekuje.

Umjesto toga uskladite predloge. Odaberite grupu koju obje strane implementiraju, stavite je u predlog podređene asocijacije na oba kraja i držite politiku obnavljanja unutar raspona koji organizacija zaista zahtijeva.

Dokažite to razmjenom koja nije uspjela

Skratite vrijeme obnavljanja ključa podređene asocijacije u prozoru za održavanje da događaj stigne za nekoliko minuta, a ne sati, ili pokrenite ručno obnavljanje. Zatim pazite na uspješno obnavljanje i potvrdite da saobraćaj prolazi kroz njega, jer novi rukovanje koje instalira podređenu asocijaciju ali ispusti tok aplikacije je druga greška.

Poslije vratite normalni životni vijek i sačuvajte oba zapisa o događajima, neuspjeli i uspješni. Dokaz koji želite jest da veza preživi vlastiti životni ciklus, a ne da je preživjela ping.