IKEv2: ŝlosilrenovigo kontraŭ reaŭtentigo — kial la konekto poste falas

La tunelo ekfunkcias matene kaj laboras dum horoj. Poste ĝi falas, rekonektiĝas post unu provo kaj faras la saman aferon denove la sekvan tagon. Nenio ŝanĝiĝis en la reto kaj neniu tuŝis pasvorton. Sesioj, kiuj malsukcesas ĉe renoviga limo, kutime trapasas unu el du malsamaj operacioj, kaj nur unu el ili rekontrolas viajn akreditaĵojn. Legi, kiun el ili ekagis, estas la tuta diagnozo.

Du operacioj, kiuj de ekstere aspektas similaj

Ŝlosilrenovigo anstataŭigas sekurecajn asociojn aŭ ŝlosilan materialon laŭ la de la protokolo difinita interŝanĝo. Aŭtentigo ne ripetiĝas, do la identeco akceptita komence de la sesio simple portiĝas antaŭen.

Reaŭtentigo iras pli malproksimen: ĝi starigas novan aŭtentigitan rilaton, kio signifas, ke la akreditaĵoj ree taksiĝas. Ĉio, kio eksvalidiĝis, estis revokita aŭ ŝanĝiĝis en la dosierujo, fariĝas videbla en tiu momento.

Kion ŝlosilrenovigo fakte anstataŭigas

IKEv2 tenas du specojn de asocio kun apartaj vivocikloj. La IKE SA protektas la regan kanalon kaj CHILD SA protektas la faktan trafikon. Renovigi unu ne estas sinonimo de rekonekti la klienton.

Tiu apartigo klarigas konatan ŝablonon: la trafiko fluas bone, poste CHILD SA renoviĝas kaj la propono ne plu kongruas, ĉar iu redaktis fazon 2 ĉe unu flanko antaŭ semajnoj. La ŝanĝo kuŝis tie sendanĝere ĝis la renovigo ĝin ekzercis.

Malakordoj de vivodaŭro kondutas same. Kiu flanko unue atingas sian limon, tiu komencas la interŝanĝon, kaj la alia devas akcepti ĝin.

Kion reaŭtentigo ree pritaksas

Ĉe reaŭtentigo, la klienta atestilo, kiu validis ĉe ensaluto, nun eble eksvalidiĝis. Revokita akreditaĵo, rotaciita pasvorto aŭ neatingebla dua faktoro ĉiuj aperas ĉi tie, ne ĉe la tempo de renovigo.

Tial etendado de ĉiu vivodaŭro sentiĝas kiel ripariĝo kaj ne estas. Vi prokrastis la kontrolon anstataŭ pasigi ĝin. La sekva renovigo venas kun la sama difekto kaj pli mallonga panea fenestro por rimarki ĝin.

Iuj efektivigoj interkovras malnovan kaj novan staton dum reaŭtentigo. Aliaj produktas mallongan breĉon. Identaj agordoj ĉe du vendistoj povas do doni malsamajn uzantajn spertojn. Testu la konduton anstataŭ supozi, ke la normo tion trudas.

Legi la tempostampojn antaŭ ol ŝanĝi ion

Kaptu la momenton de malsukceso kune kun la asocia stato antaŭ kaj poste. Se la malnova asocio anstataŭiĝis sen aŭtentiga interŝanĝo, vi estis ĉe renoviga limo. Se interŝanĝo AUTH aperas ĝuste antaŭ la malsukceso, vi estis ĉe reaŭtentigo.

strongSwan elmetas tion kiel apartajn agordojn: rekey regas ŝlosilrenovigon, reauth regas, ĉu okazas nova aŭtentigo, kaj margin-valoroj decidas, kiom antaŭ la fino ĉiu komenciĝas. la dokumentaro pri ŝlosilrenovigo priskribas la interagon, kaj indas legi ĝin antaŭ ol kopii vivodaŭron el forumafiŝo.

Distingu ĉion ĉi disde simpla retperdo. Rompita ligo produktas eventon de detektado de mortinta partnero aŭ ŝtormon de resendoj, ne puran interŝanĝon kun kongruaj proponoj.

Ŝanĝu tion, kio malsukcesis

Rifuzo de akreditaĵo bezonas, ke la identeca problemo estu riparita: renovigu la atestilon, restarigu la konton, reenskribu la faktoron. Malakordo de propono aŭ vivodaŭro bezonas komparon de la parametroj ĉe ambaŭ flankoj.

Etendado de vivodaŭroj por eviti la simptomon estas la sola opcio, kiu ĉiam aspektas, kvazaŭ ĝi funkciis, kaj neniam funkcias.

Testu kontrolitan renovigon

Devigu la renovigon anstataŭ atendi tagon por ĝi. Poste ripetu kun reaŭtentigo, se la instalaĵo subtenas unu, kaj observu ambaŭ finpunktojn.

Sukcesa unua ensaluto ekzercas nenion el tio. La vivociklo post ĝi estas kie ĉi tiuj instalaĵoj vere rompiĝas.