IKEv2: võtmeuuendus versus taasautentimine — miks ühendus hiljem katkeb

Tunnel tõuseb hommikul ja töötab tunde. Siis see katkeb, ühendub pärast katset uuesti ja teeb järgmisel päeval sama. Võrgus ei muutunud midagi ja keegi ei puutunud parooli. Sessioonid, mis uuenduspiiril ebaõnnestuvad, ületavad tavaliselt ühe kahest erinevast toimingust ja ainult üks neist kontrollib sinu volitusi uuesti. Lugeda, milline neist käivitus, ongi kogu diagnoos.

Kaks toimingut, mis väljastpoolt sarnased tunduvad

Võtmeuuendus asendab turvaassotsiatsioonid või võtmematerjali protokolli määratud vahetuse raames. Autentimist ei korrata, seega sessiooni alguses aktsepteeritud identiteet lihtsalt kantakse edasi.

Taasautentimine läheb kaugemale: see loob värske autenditud suhte, mis tähendab, et volitusi hinnatakse uuesti. Kõik, mis aegus, tühistati või kataloogis muudeti, muutub sel hetkel nähtavaks.

Mida võtmeuuendus tegelikult asendab

IKEv2 hoiab kahte tüüpi assotsiatsioone eraldi elutsüklitega. IKE SA kaitseb juhtkanalit ja CHILD SA kaitsevad tegelikku liiklust. Ühe uuendamine ei ole kliendi uuesti ühendamise sünonüüm.

See eraldatus selgitab tuttavat mustrit: liiklus voolab hästi, siis uuendatakse CHILD SA ja pakkumine ei sobi enam, sest keegi oli nädalaid varem ühel poolel faasi 2 muutnud. Muudatus seisis seal kahjutult, kuni uuendus selle käivitas.

Eluea erinevused käituvad samamoodi. Kumb pool jõuab esimesena oma piirini, alustab vahetust, ja teine peab selle vastu võtma.

Mida taasautentimine uuesti hindab

Taasautentimise korral võib sisselogimisel kehtinud kliendisertifikaat olla nüüd aegunud. Tühistatud volitus, pööratud parool või kättesaamatu teine faktor tulevad kõik välja siin, mitte uuendamise hetkel.

Seepärast tundub iga eluea pikendamine parandusena, aga ei ole. Sa lükkasid kontrolli edasi, selle asemel et see läbida. Järgmine uuendus saabub sama defektiga ja lühema katkestusaknaga, et seda märgata.

Mõned implementatsioonid kattuvad taasautentimise ajal vana ja uue oleku. Teised tekitavad lühikese lünga. Seetõttu võivad identsed seaded kahel tarnijal anda erineva kasutajakogemuse. Testi käitumist, selle asemel et eeldada, et standard seda dikteerib.

Loe ajatempleid enne, kui midagi muudad

Jäädvusta rikke hetk koos assotsiatsiooni olekuga enne ja pärast. Kui vana assotsiatsioon asendati ilma autentimisvahetuseta, olid sa uuenduspiiril. Kui vahetult enne riket ilmub AUTH-vahetus, olid sa taasautentimisel.

strongSwan pakub seda eraldi seadetena: rekey juhib võtmeuuendust, reauth juhib, kas toimub uus autentimine, ja margin-väärtused otsustavad, kui kaua enne aegumist kumbki algab. võtmeuuenduse dokumentatsioon kirjeldab seda koostoimet ja seda tasub lugeda enne, kui kopeerid eluea foorumipostitusest.

Erista kõike seda tavalisest võrgukao. Katkenud link tekitab surnud partneri tuvastamise sündmuse või kordussaadetiste tormi, mitte puhta vahetuse sobivate pakkumistega.

Muuda seda, mis ebaõnnestus

Volituse tagasilükkamine nõuab identiteediprobleemi parandamist: uuenda sertifikaat, taasta konto, registreeri faktor uuesti. Pakkumise või eluea erinevus nõuab parameetrite võrdlemist mõlemal poolel.

Eluea venitamine sümptomi vältimiseks on ainus valik, mis näeb alati välja, nagu oleks töötanud, ja ei tööta kunagi.

Testi kontrollitud uuendust

Sundige uuendus peale, selle asemel et seda päev oodata. Seejärel korrake taasautentimisega, kui juurutus seda toetab, ja jälgige mõlemat otsa.

Edukas esmane sisselogimine ei harjuta sellest midagi. Elutsükkel pärast seda on koht, kus need juurutused tegelikult katkevad.