Ail-allweddu, ailgysylltu neu ail-ddilysu: pa un sydd ei angen arnoch?

Ni fydd sesiwn sydd wedi bod i fyny am oriau yn cadw’r un allweddi am byth, ac mae hynny’n fwriadol. Disgrifir tri digwyddiad gwahanol fel cylchdroi allweddi: deunydd sesiwn newydd o dan gysylltiad sy’n bodoli eisoes, ailadeiladu’r cysylltiad yn llwyr, ac ailadrodd y gwiriad hunaniaeth. Mae gan bob un sbardun gwahanol, cost wahanol a llofnod methiant gwahanol. Dewiswch yr un anghywir ac naill ai ni wna’r atgyweiriad ddim byd neu bydd yn cwympo’r twnnel heb reswm.

Mae’r penderfyniad yn dibynnu ar ba haen sydd wedi dod i ben mewn gwirionedd.

Tri gweithrediad a elwir yn gylchdroi

Mae ail-allweddu yn creu allweddi traffig newydd o fewn y berthynas reoli bresennol, gan ddefnyddio’r mecanwaith y mae’r protocol yn ei ddiffinio. Mae IKEv2 yn gwneud hyn gyda chymdeithas diogelwch blentyn newydd, TLS 1.3 gyda neges diweddaru allwedd, a WireGuard gyda chydlaweni newydd unwaith y cyrhaeddir ei derfynau amser neu negeseuon. Mae cyfeiriadau’r twnnel a’r hunaniaeth a ddilyswyd yn aros lle’r oeddent.

Mae ailgysylltu yn taflu’r cysylltiad i ffwrdd ac yn ei adeiladu o’r dechrau, sy’n ailadrodd neilltuo cyfeiriadau, gosod llwybrau ac unrhyw drafodaeth a wnaeth y cynnig cyntaf.

Mae ail-ddilysu yn ailadrodd y prawf hunaniaeth ei hun, a all gynnwys tystlythyrau, tystysgrif neu ail ffactor. Gall ddigwydd gyda neu heb ailgysylltu, yn dibynnu ar y cynnyrch.

Beth mae defnyddwyr yn ei sylwi wrth adnewyddu

Dylai ail-allweddu fod bron yn anweledig. Mae dynodwyr cymdeithas yn newid, gall cownteri ailosod, ac mae rhaglenni’n cadw eu socedi; mae saib fer i un cyfeiriad yn normal yn ystod y cyfnewidiad. Nid yw gweld dynodydd newydd mewn rhestr statws yn brawf o fai. Y llinell log sy’n dilyn y cyfnewidiad sy’n dweud wrthych a yw wedi gorffen.

Mae gostyngiad gwirioneddol wrth adnewyddu yn pwyntio at rywle penodol. Mae anghysondeb cynnig, tystlythyrau wedi dod i ben neu newid llwybr pob un yn cynhyrchu llinell log wahanol, a dim ond un ohonynt sy’n cael ei drwsio drwy addasu hyd oes.

Ble mae’r tri yn dargyfeirio yn ymarferol

Os mai deunydd allwedd yn unig sydd wedi dod i ben, ail-allweddwch. Os yw cyfeiriad y cymar, y llwybr neu’r bond NAT wedi newid ac nad yw pecynnau’n cyrraedd mwyach, ailgysylltwch. Os yw’r sefydliad yn gofyn am wiriad hunaniaeth cyfnodol, ail-ddilysu yw hynny ac ni all unrhyw diwtio hyd oes ei ddisodli.

Mae rhagosodiadau protocol fel arfer yn amgáu’r ateb cywir. Mae WireGuard yn ail-allweddu ar ôl trothwy amser a chyfaint data heb unrhyw weithred gan y defnyddiwr; mae hyd oes IKEv2 yn cael ei drafod ar gyfer pob cymdeithas blentyn; mae twneli sy’n seiliedig ar TLS yn cylchdroi allweddi o fewn y sesiwn bresennol. Mae codi hyd oes i osgoi gwall sy’n ailymddangos yn gohirio’r methiant ac yn estyn yr amlygiad os yw allwedd yn cael ei chyfaddawdu.

Mae un rhybudd yn bwysig ar gyfer sesiynau hir: nid yw amlder ynddo’i hun yn creu cyfrinachedd ymlaen. Mae’r briodwedd yn dibynnu ar sut mae allweddi sesiwn yn perthyn i gyfrinachau hirdymor ac a yw hen allweddi’n cael eu dinistrio, sy’n gwestiwn dylunio a gweithredu yn hytrach na gosodiad.

Dewiswch ragosodiadau, yna cofnodwch y cam

Cadwch ragosodiadau’r gwerthwr oni bai bod gofyniad wedi’i ddogfennu’n dweud yn wahanol, a newidiwch hyd oes ar y ddau gymar os ydych yn eu newid o gwbl. Yna cofnodwch ba gam y cyrhaeddodd pob digwyddiad, fel y gellir gwirio’r digwyddiad nesaf yn erbyn yr un pwynt yn y cydlaweni.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

Ar ôl cywiriad, cynhelwch adnewyddiad rheoledig ac anfonwch draffig rhaglen newydd drwy’r gymdeithas newydd. Twnnel sy’n adrodd ei fod wedi’i sefydlu ond nad yw’n anfon dim yw’r methiant y mae’r gwiriad hwn yn bodoli i’w ddal.