Miks teie IPsec-tunnel töötab kuni esimese CHILD SA võtmeuuenduseni

Tunnel tõusis, ping vastas ja kõik andsid allkirja. Neli tundi hiljem sessioon katkeb, osapooled logivad ettepaneku või võtmevahetuse vea ja esimene oletus on, et võrgus muutus midagi. Midagi ei muutunud. Tunnel, mis kannab liiklust, on tõestanud, et kaks osapoolt on ühel meelel, kuidas autentida ja kuidas kaitsta esimest tütar-assotsiatsiooni, ning ei ole tõestanud midagi võtmevahetuse kohta, mida nad uuendamisel nõuavad. Lahknevus asub nende kahe sündmuse vahelises tühikus.

Ühendatud ei tähenda, et PFS-i seaded ühtivad

IKEv2 puhul luuakse esimene tütar-assotsiatsioon autentimisvahetuse käigus ja selle võtmed tuletatakse materjalist, mille IKE assotsiatsioon on juba tootnud. Selle tütre jaoks eraldi Diffie-Hellmani vahetust ei toimu, seega poliitikat, mis nõuab seda uuendamisel, ei katsetata ülesehitamisel.

Uuendamine on teistsugune vahetus. Kui tütar-assotsiatsiooni võti uuendatakse, võivad osapooled teha nende ettepanekutes nimetatud grupiga uue võtmevahetuse, ja see on esimene hetk, mil grupi seadeid võrreldakse. Nii saavad kaks lahknevat osapoolt autentida, tütar-assotsiatsiooni paigaldada ja liiklust läbi lasta, ning seejärel uuendamisel ebaõnnestuda.

Kuhu lahknevus ettepaneku stringis peitub

strongSwanis lisatakse grupp tütarettepanekule, mistõttu string nagu aes256gcm16-prfsha256-ecp256 näeb välja nagu krüpteerimisvalik, kuid kannab ka võtmevahetuse nõuet. Osapool, mis pakub ainult aes256gcm16-prfsha256 ei oma sellist nõuet, ja kaks loendit kattuvad krüpteerimises, kuid lahknevad vahetuses.

Lugege tütarettepanekut ja IKE ettepanekut eraldi loenditena. IKE loendis esinev grupp ei ütle tütarloendi kohta midagi, ja ühe muutmine teise lugemise ajal on tavaline viis, kuidas see kahe silma vahele jääb.

Lugege tõrget, mitte faili, mida muutsite

Leidke notify, mis vahetuse lõpetas. Tütar-võtmeuuendus, mis tagastab „vastuvõetav ettepanek puudub“, osutab ettepanekuloenditele; uuendustaotlus, mis kunagi vastust ei saa, osutab teele või osapoolele, kes lakkas kuulamast. Need kaks vajavad erinevaid parandusi, ja logirea sõnastus eristab neid.

Kinnitage töötav konfiguratsioon, mitte see, mis on kettal. Fail, mis on salvestatud, kuid mitte laaditud, või ühendus, mis on uuesti loetud teisest include-ist, tekitab lahknevuse, mida ükski nähtava faili muudatus ei paranda.

Kolm sündmust, mida kõiki nimetatakse võtmeuuenduseks

IKE assotsiatsiooni võtmeuuendus, IKE uuestiautentimine ja tütar-assotsiatsiooni võtmeuuendus on eraldi toimingud eraldi ettepanekureeglitega. Ühes neist teatatud tõrge ei ütle teiste kohta otseselt midagi, ja logi, mis neid segab, loetakse ühe korduva rikkena, kuigi neid on kolm.

Pange tähele, millist sündmust osapool nimetab, seejärel kontrollige ettepanekuid ainult selle sündmuse jaoks. Muutke ühte loendit, laadige uuesti ja sundige sama sündmust uuesti. Kui logi nimetab uuestiautentimist, tuleb lugeda IKE ettepanekut. Kui see nimetab tütar-võtmeuuendust, kannab olulist gruppi tütarettepanek.

Uuendamise väljalülitamine ei ole parandus

Võtmeuuenduse aja nulli seadmine surub maha vahetuse, mis ebaõnnestub, ja tunnel jääb seejärel püsima, kuni see maha võetakse või osapool taaskäivitub. Ostsite pikema elueaga võtme ja lahknevuse, mis tuleb teile uuesti vastu migratsiooni, auditi või tarnija värskenduse ajal. Sama kehtib eluigade kohta, mis on venitatud kaugele üle selle poliitika, mida teine pool ootab.

Selle asemel joondage ettepanekud. Valige grupp, mida mõlemad osapooled rakendavad, pange see mõlemas otsas tütarettepanekusse ja hoidke uuenduspoliitika vahemikus, mida organisatsioon tegelikult nõuab.

Tõestage seda vahetusega, mis ebaõnnestus

Lühendage tütar-võtmeuuenduse aega hooldusaknas, et sündmus saabuks minutite, mitte tundidega, või käivitage käsitsi tütar-võtmeuuendus. Seejärel jälgige edukat uuendamist ja kinnitage, et liiklus jätkub sellest läbi, sest uus kätlus, mis paigaldab tütar-assotsiatsiooni, kuid kaotab rakenduse voo on teine viga.

Pärast taastage tavaline eluiga ja hoidke alles mõlemad sündmuste kirjed, ebaõnnestunud ja edukas. Tõestus, mida soovite, on see, et ühendus peab vastu oma elutsüklile, mitte see, et ta peab vastu pingile.