IKEv2: ανανέωση κλειδιών έναντι επανελέγχου ταυτότητας — γιατί η σύνδεση πέφτει αργότερα

Η σήραγγα σηκώνεται το πρωί και δουλεύει για ώρες. Μετά πέφτει, επανασυνδέεται μετά από μια προσπάθεια και κάνει το ίδιο πράγμα την επόμενη μέρα. Τίποτα δεν άλλαξε στο δίκτυο και κανείς δεν άγγιξε κωδικό πρόσβασης. Οι συνεδρίες που αποτυγχάνουν σε ένα όριο ανανέωσης συνήθως διασχίζουν μία από δύο διαφορετικές λειτουργίες, και μόνο η μία από αυτές ελέγχει ξανά τα διαπιστευτήριά σας. Το να διαβάσετε ποια ενεργοποιήθηκε είναι ολόκληρη η διάγνωση.

Δύο λειτουργίες που μοιάζουν από έξω

Η ανανέωση κλειδιών αντικαθιστά τις συσχετίσεις ασφαλείας ή το υλικό κλειδιών στο πλαίσιο της ανταλλαγής που ορίζει το πρωτόκολλο. Ο έλεγχος ταυτότητας δεν επαναλαμβάνεται, οπότε η ταυτότητα που έγινε δεκτή στην αρχή της συνεδρίας απλώς μεταφέρεται μπροστά.

Ο επανέλεγχος ταυτότητας πηγαίνει πιο πέρα: δημιουργεί μια νέα πιστοποιημένη σχέση, που σημαίνει ότι τα διαπιστευτήρια αξιολογούνται ξανά. Ό,τι έληξε, ανακλήθηκε ή άλλαξε στον κατάλογο γίνεται ορατό εκείνη τη στιγμή.

Τι αντικαθιστά στην πραγματικότητα μια ανανέωση κλειδιών

Το IKEv2 κρατά δύο είδη συσχέτισης με ξεχωριστούς κύκλους ζωής. Το IKE SA προστατεύει το κανάλι ελέγχου και τα CHILD SA προστατεύουν την πραγματική κίνηση. Η ανανέωση του ενός δεν είναι συνώνυμο της επανασύνδεσης του πελάτη.

Ο διαχωρισμός εξηγεί ένα γνώριμο μοτίβο: η κίνηση κυλά καλά, μετά ανανεώνεται ένα CHILD SA και η πρόταση δεν ταιριάζει πια, επειδή κάποιος επεξεργάστηκε τη φάση 2 στη μία πλευρά πριν από εβδομάδες. Η αλλαγή έμεινε εκεί αβλαβής μέχρι που η ανανέωση την ενεργοποίησε.

Οι ασυμφωνίες διάρκειας ζωής συμπεριφέρονται το ίδιο. Όποιος ομότιμος φτάσει πρώτος το όριό του ξεκινά την ανταλλαγή και ο άλλος πρέπει να τη δεχτεί.

Τι επαναξιολογεί ο επανέλεγχος ταυτότητας

Με τον επανέλεγχο ταυτότητας, το πιστοποιητικό πελάτη που ήταν έγκυρο κατά τη σύνδεση μπορεί τώρα να έχει λήξει. Ένα διαπιστευτήριο που ανακλήθηκε, ένας κωδικός πρόσβασης που περιστράφηκε ή ένας μη διαθέσιμος δεύτερος παράγοντας εμφανίζονται εδώ, όχι τη στιγμή της ανανέωσης.

Γι’ αυτό η παράταση κάθε διάρκειας ζωής μοιάζει με διόρθωση και δεν είναι. Αναβάλατε τον έλεγχο αντί να τον περάσετε. Η επόμενη ανανέωση έρχεται με το ίδιο ελάττωμα και με μικρότερο παράθυρο διακοπής για να το προσέξετε.

Ορισμένες υλοποιήσεις επικαλύπτουν την παλιά και τη νέα κατάσταση κατά τον επανέλεγχο ταυτότητας. Άλλες δημιουργούν ένα σύντομο κενό. Γι’ αυτό, πανομοιότυπες ρυθμίσεις σε δύο προμηθευτές μπορούν να δώσουν διαφορετική εμπειρία χρήστη. Δοκιμάστε τη συμπεριφορά αντί να υποθέσετε ότι το πρότυπο την επιβάλλει.

Διαβάστε τις χρονοσημάνσεις πριν αλλάξετε οτιδήποτε

Καταγράψτε τη στιγμή της αποτυχίας μαζί με την κατάσταση της συσχέτισης πριν και μετά. Αν η παλιά συσχέτιση αντικαταστάθηκε χωρίς ανταλλαγή ελέγχου ταυτότητας, ήσασταν σε όριο ανανέωσης. Αν μια ανταλλαγή AUTH εμφανιστεί ακριβώς πριν από την αποτυχία, ήσασταν σε επανέλεγχο ταυτότητας.

Το strongSwan το εκθέτει ως ξεχωριστές ρυθμίσεις: rekey ελέγχει την ανανέωση κλειδιών, reauth ελέγχει αν γίνεται νέος έλεγχος ταυτότητας, και οι τιμές margin καθορίζουν πόσο πριν από τη λήξη ξεκινά καθένα. η τεκμηρίωση για την ανανέωση κλειδιών περιγράφει την αλληλεπίδραση και αξίζει να τη διαβάσετε πριν αντιγράψετε μια διάρκεια ζωής από μια ανάρτηση φόρουμ.

Ξεχωρίστε όλα αυτά από μια απλή απώλεια δικτύου. Ένας κομμένος σύνδεσμος παράγει ένα συμβάν ανίχνευσης νεκρού ομοτίμου ή μια καταιγίδα επαναμεταδόσεων, όχι μια καθαρή ανταλλαγή με ταιριαστές προτάσεις.

Αλλάξτε αυτό που απέτυχε

Μια απόρριψη διαπιστευτηρίων απαιτεί να διορθωθεί το πρόβλημα ταυτότητας: ανανεώστε το πιστοποιητικό, επαναφέρετε τον λογαριασμό, εγγράψτε ξανά τον παράγοντα. Μια ασυμφωνία πρότασης ή διάρκειας ζωής απαιτεί σύγκριση των παραμέτρων και στις δύο πλευρές.

Το τέντωμα των διαρκειών ζωής για να αποφευχθεί το σύμπτωμα είναι η μόνη επιλογή που πάντα μοιάζει να λειτούργησε και ποτέ δεν λειτουργεί.

Δοκιμάστε μια ελεγχόμενη ανανέωση

Επιβάλετε την ανανέωση αντί να περιμένετε μια μέρα γι’ αυτή. Στη συνέχεια επαναλάβετε με επανέλεγχο ταυτότητας αν η εγκατάσταση υποστηρίζει έναν, και παρακολουθήστε και τα δύο άκρα.

Μια επιτυχημένη αρχική σύνδεση δεν εξασκεί τίποτα από αυτά. Ο κύκλος ζωής μετά από αυτήν είναι εκεί όπου αυτές οι εγκαταστάσεις σπάνε πραγματικά.