Kial via IPsec-tunelo funkcias ĝis la unua ŝlosilrenovigo de CHILD SA

La tunelo ekfunkciis, la ping respondis, kaj ĉiuj aprobis. Kvar horojn poste la sesio falas, la partneroj registras eraron pri propono aŭ ŝlosilinterŝanĝo, kaj la unua supozo estas, ke io ŝanĝiĝis en la reto. Nenio ŝanĝiĝis. Tunelo, kiu portas trafikon, pruvis, ke la du partneroj konsentas pri tio, kiel aŭtentigi kaj kiel protekti la unuan infanan asocion, kaj ĝi pruvis nenion pri la ŝlosilinterŝanĝo, kiun ili postulos ĉe la renovigo. La miskongruo sidas en la breĉo inter tiuj du eventoj.

Konektite ne signifas, ke la PFS-agordoj kongruas

Ĉe IKEv2, la unua infana asocio kreiĝas dum la aŭtentiga interŝanĝo, kaj ĝiaj ŝlosiloj deriviĝas el materialo, kiun la IKE-asocio jam produktis. Neniu aparta Diffie-Hellman-interŝanĝo okazas por tiu infano, do politiko, kiu postulas unu ĉe renovigo, ne estas provata ĉe la starigo.

Renovigo estas alia interŝanĝo. Kiam la ŝlosilo de infana asocio renoviĝas, la partneroj povas fari novan ŝlosilinterŝanĝon kun la grupo nomita en iliaj proponoj, kaj tio estas la unua momento, kiam la grupaj agordoj estas komparataj. Du partneroj, kiuj malkongruas, povas do aŭtentigi, instali infanan asocion kaj pasigi trafikon, kaj poste malsukcesi ĉe la renovigo.

Kie la miskongruo kaŝiĝas en la propona ĉeno

En strongSwan la grupo aldoniĝas al la infana propono, tial ĉeno kiel aes256gcm16-prfsha256-ecp256 aspektas kiel ĉifra elekto sed ankaŭ portas postulon pri ŝlosilinterŝanĝo. Partnero, kiu proponas nur aes256gcm16-prfsha256 havas neniun tian postulon, kaj la du listoj intersekcas pri ĉifrado dum ili malkongruas pri la interŝanĝo.

Legu la infanan proponon kaj la IKE-proponon kiel apartajn listojn. Grupo, kiu aperas en la IKE-listo, diras nenion pri la infana listo, kaj redakti unu dum legado de la alia estas la kutima maniero maltrafi tion.

Legu la malsukceson, ne la dosieron, kiun vi redaktis

Trovu la notify, kiu finis la interŝanĝon. Infana ŝlosilrenovigo, kiu redonas „neniu akceptebla propono“, montras al la proponaj listoj; renoviga peto, kiu neniam ricevas respondon, montras al la vojo aŭ al partnero, kiu ĉesis aŭskulti. Tiuj du bezonas malsamajn riparojn, kaj la vortigo de la protokola linio apartigas ilin.

Konfirmu la kurantan agordon, ne tiun sur la disko. Dosiero konservita sed ne ŝargita, aŭ konekto relegita el alia include, produktos miskongruon, kiun neniu kvanto da redaktado de la videbla dosiero povas ripari.

Tri eventoj, kiujn ĉiuj nomas ŝlosilrenovigo

Renovigo de la ŝlosilo de la IKE-asocio, IKE-reaŭtentigo kaj renovigo de la ŝlosilo de la infana asocio estas apartaj operacioj kun apartaj proponaj reguloj. Malsukceso raportita ĉe unu el ili diras nenion rekte pri la aliaj, kaj protokolo, kiu ilin miksas, legeblas kiel unu ripetiĝanta difekto, kvankam temas pri tri.

Rimarku, kiun eventon la partnero nomas, poste kontrolu la proponojn nur por tiu evento. Ŝanĝu unu liston, reŝargu kaj denove devigu la saman eventon. Se la protokolo nomas reaŭtentigon, la IKE-propono estas la legenda. Se ĝi nomas infanan ŝlosilrenovigon, la infana propono portas la grupon, kiu gravas.

Malŝalti renovigon ne estas riparo

Agordi la renovigan tempon al nulo subpremas la interŝanĝon, kiu malsukcesas, kaj la tunelo poste vivas ĝis ĝi estas malmuntita aŭ la partnero restartas. Tio, kion vi aĉetis, estas pli longdaŭra ŝlosilo kaj miskongruo, kiu denove renkontos vin dum migrado, revizio aŭ ĝisdatigo de vendanto. La samo validas por vivdaŭroj etenditaj multe preter la politiko, kiun la alia flanko atendas.

Anstataŭe agordu la proponojn akordaj. Elektu grupon, kiun ambaŭ partneroj implementas, metu ĝin en la infanan proponon ĉe ambaŭ finoj, kaj tenu la renovigan politikon ene de la gamo, kiun la organizo efektive postulas.

Pruvu ĝin per la interŝanĝo, kiu malsukcesis

Mallongigu la infanan renovigan tempon en bontenada fenestro, por ke la evento venos en minutoj anstataŭ horoj, aŭ ekigu manan infanan ŝlosilrenovigon. Poste atentu sukcesan renovigon kaj konfirmu, ke trafiko daŭre pasas tra ĝi, ĉar nova manpremo, kiu instalas infanan asocion sed faligas la aplikaĵan fluon estas alia difekto.

Poste restarigu la normalan vivdaŭron kaj konservu ambaŭ eventajn registrojn, la malsukcesan kaj la sukcesan. La pruvo, kiun vi volas, estas, ke la konekto pluvivas sian propran vivociklon, ne ke ĝi pluvivis ping.