Ĉu reŝlosiligo, rekonekto aŭ reaŭtentigo: kion vi bezonas?

Sesio, kiu funkcias jam horojn, ne konservos la samajn ŝlosilojn por ĉiam, kaj tio estas intenca. Tri malsamaj eventoj estas priskribataj kiel ŝlosila rotacio: nova sesia materialo sub ekzistanta asocio, kompleta rekonstruo de la konekto, kaj ripeto de la identec-kontrolo. Ĉiu havas alian ekigilon, alian koston kaj alian malsukcesan subskribon. Se vi elektos la malĝustan, la riparo aŭ faros nenion aŭ faligos la tunelon sen kialo.

La decido dependas de tio, kiu tavolo efektive eksvalidiĝis.

Tri operacioj nomataj rotacio

Reŝlosiligo kreas novajn trafikajn ŝlosilojn ene de la ekzistanta kontrola rilato, uzante la mekanismon, kiun la protokolo difinas. IKEv2 faras tion per nova infana sekureca asocio, TLS 1.3 per ŝlosil-ĝisdatiga mesaĝo, kaj WireGuard per nova manpremo kiam ĝiaj tempaj aŭ mesaĝaj limoj estas atingitaj. La tunelaj adresoj kaj la aŭtentikigita identeco restas kie ili estis.

Rekonekto forĵetas la konekton kaj konstruas ĝin denove de la komenco, kio ripetas adresan asignadon, enkursigon de vojoj kaj ĉiun traktadon, kiun faris la unua provo.

Reaŭtentigo ripetas la identecan pruvon mem, kio povas inkluzivi akreditilon, atestilon aŭ duan faktoron. Ĝi povas okazi kun aŭ sen rekonekto, laŭ la produkto.

Kion uzantoj rimarkas ĉe renovigo

Reŝlosiligo devus esti preskaŭ nevidebla. Asociaj identigiloj ŝanĝiĝas, nombriloj povas rekomenciĝi, kaj aplikaĵoj konservas siajn ingojn; mallonga paŭzo en unu direkto estas normala dum la interŝanĝo. Vidi novan identigilon en statlistaĵo ne estas pruvo de difekto. La protokola linio post la interŝanĝo estas tio, kio diras al vi, ĉu ĝi finiĝis.

Efektiva interrompo ĉe renovigo montras al io konkreta. Malkongruo de propono, eksvalidiĝinta akreditilo aŭ ŝanĝo de vojo ĉiu produktas alian protokolan linion, kaj nur unu el ili estas riparata per ĝustigo de daŭroj.

Kie la tri diverĝas en praktiko

Se la sola eksvalidiĝinta afero estas ŝlosila materialo, reŝlosiligu. Se la samtavola adreso, vojo aŭ NAT-ligo ŝanĝiĝis kaj pakaĵoj ne plu alvenas, rekonektu. Se la organizo postulas periodan identec-kontrolon, tio estas reaŭtentigo kaj neniu daŭra ĝustigo anstataŭas ĝin.

Protokolaj defaŭltoj kutime enhavas la ĝustan respondon. WireGuard reŝlosiligas post tempokaj datumvolumaj sojloj sen iu ajn uzanta ago; IKEv2-daŭroj estas traktataj por ĉiu infana asocio; TLS-bazitaj tuneloj rotacias ŝlosilojn ene de la ekzistanta sesio. Pliigi daŭrojn por eviti ripetiĝantan eraron prokrastas la malsukceson kaj plilongigas la eksponiĝon, se ŝlosilo estas kompromitita.

Unu avertrimarko gravas por longaj sesioj: ofteco sola ne kreas antaŭen sekretecon. La eco dependas de tio, kiel sesiaj ŝlosiloj rilatas al longtempaj sekretoj kaj ĉu malnovaj ŝlosiloj estas detruitaj, kio estas demando de dezajno kaj efektivigo, ne de agordo.

Elektu defaŭltojn, poste registru la etapon

Konservu la defaŭltojn de la vendisto krom se dokumentita postulo diras alie, kaj ŝanĝu daŭrojn ĉe ambaŭ samtavoloj se vi entute ŝanĝas ilin. Poste registru, kiun etapon ĉiu evento atingis, por ke la sekva okazo povu esti kontrolita kontraŭ la sama punkto de la manpremo.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

Post korekto, plenumu kontrolatan renovigon kaj sendu freŝan aplikaĵan trafikon tra la nova asocio. Tunelo, kiu raportas sin establita sed plusendas nenion, estas la malsukceso, kiun ĉi tiu kontrolo ekzistas por kapti.