IKEv2ko SA-en iraupenak: gako-berritze biguna, iraungitze gogorra, berrautentikazio bereizia

Denbora-mugak erabakitzen du noiz ordeztuko diren tunel baten gakoak, eta tartean dauden bi atalaseak askotan bat bezala irakurtzen dira. Ez dira. Bizitza bigunak pareari ordezkapen bat eraikitzeko eskatzen dio segurtasun-elkarte unekoak oraindik trafikoa daraman bitartean, eta bizitza gogorra ordezkapenak funtzionatu duen ala ez elkarte zaharra desagertzen den epea da. Bien artean gainjartze-leiho bat dago, paketeak hutsune batera eror ez daitezen.

Zer mugatzen duen bizitzak benetan

IPsec segurtasun-elkartea kriptografia-egoeraren sorta bat da: norabide baterako gakoak, segurtasun-parametroen indizea, algoritmo-multzoa eta hautatzailea. Bizitzak mugatzen du zenbat denboraz erabil daitekeen egoera hori, eta horrek mugatzen du gako batek zenbat trafiko babesten duen. Gakoarentzako edukitze-neurria da, ez erabiltzailearen saioak zenbat iraun behar duen dioen adierazpena.

IKE kontrol-elkarteek beren gakoak eta beren bizitzak dituzte, datuak daramatzaten elkarte umeetatik bereizita. Hemen nahasten dituzte pertsonek lehenengoz bi egutegi.

Bigunak ordezkapena hasten du, gogorrak egoera zaharra amaitzen du

Atalase biguna hurbiltzen denean, pareak ordezkapena hasten du. Inplementazioek normalean goiz jaurtitzen dute eta unea ausazkotzen dute, ehunka tunel dituen buru batek denak batera birkako ez ditzan. IKEv2n ordezkapena nonce berriak daramatzan CREATE_CHILD_SA trukea da, eta Diffie-Hellman trukea ere bai, aurreranzko sekretutasun perfektua konfiguratuta dagoenean. Emaitza gako berriak dituzten elkarte-bikote berria da.

Gainjartzeak garrantzia du. Aldi labur batez pareak elkarte zaharra eta berria eduki ditzake, eta kaptura batek bi identifikatzaile-multzo erakuts ditzake. Mekanismoa lanean ari da, ez da akatsa.

Atalase gogorrak ez du barkatzen. Ordezkapena ordurako osatu ez bada, elkarte zaharra erretiratu behar da eta soilik berak babestutako trafikoa gelditzen da. Iraungitze gogorreraino iristen diren gako-berritze hutsegite errepikatuak ikerketarako seinale operatiboa dira, tunela ziklo bakoitzean epe baten gainean eusten baita.

Erabilera-mugek edozein erloju baino lehen jo dezakete

Denbora ez da muga bakarra. Inplementazioek gako batek babestutako byteak edo paketeak mugatu ditzakete, eta tunel lanpetu batek erabilera-muga bat joango du ordu askotako tenporizadore bat baino askoz lehenago. strongSwanek bizitza eta marjina ezarpen bereiziak eskaintzen ditu denborarako, byteetarako eta paketeetarako, hau da, berritze-puntu eraginkorra lehenago iristen den atalasea da, konfiguratutako marjina kenduta.

Tunel bat konfiguratutako orduek iradokitzen dutena baino askoz sarriago berritzen denean, egiaztatu byte- eta pakete-mugak erlojuari errua bota aurretik. Esteka saturatu batek eta esteka inaktibo batek, denbora-ezarpen berberekin, gako-berritze tasa nabarmen desberdinak izango dituzte, eta horietako bakarra dabil erlojuaren arabera.

Pare bakoitzak bere politika ezartzen du

IKEv2k ez du negoziatzen bi pareek berdin erakutsi behar duten bizitza bakar bat. Alde bakoitzak bere tokiko politika aplikatzen du eta ordezkapena has dezake bere muga hurbiltzen denean, RFC 7296 2.8 atalean deskribatzen den bezala. Beraz, bi pareen konfiguratutako orduen arteko desberdintasuna ez da automatikoki akats bat, nahiz eta balio oso desberdinek nahasmena sor dezaketen alde batek besteak instalatu berri duen egoera etengabe ordezkatzen badu.

Koordinatzeak portaera bateragarria esan nahi du: trukerako bezain luzeak diren gainjartze-leihoak, berriz saiatzeko lekua uzten duten marjinak eta berritze bakoitza zein aldek hasi duen erakusten duen monitorizazioa.

Gakoak berritzea ez da berrautentikatzea

Gako-berritze batek gakoak freskatzen ditu lehendik dagoen harreman autentifikatuaren pean. Berrautentikazio batek identitate-egiaztapena errepikatzen du, ziurtagiri-trukea edo EAP elkarrizketa izan. Biek egutegi bereizietan dihardute eta berritze arrakastatsu batek ez du ezer esaten kontuak oraindik sarbidea izan behar duen ala ez.

Bereizketa hori garrantzitsua da errebokaziorako. Kontu bat desgaitzea, ziurtagiri bat errebokatzea edo saio bat amaitzea sarbide-erabakiak dira, inplementazioan politika esplizitua behar dutenak; ez datoz SA tenporizadoretik, eta gako-berritze batek lasai jarrai dezake jada baimenik ez duen identitate baterako.

Zer erregistratu tunel bakoitzeko

Erregistratu zein elkartek eragin zuen berritzea, identifikatzaile zahar eta berriak, zein atalasek jo zuen eta gainjartzearen barruan osatu zen ordezkapena. Lau eremu horiek berritze-arazo bat ikusgai egiten dute etenaldia bihurtu aurretik, eta politika oldarkorra huts egiten ari den batetik bereizten dute.

Eduki sarbidea kentzeko egutegia erregistro horren ondoan, ez haren barruan. Higiene kriptografikoa eta identitate-politika kontrol desberdinak dira, eta gakoak garaiz biratzen dituen tunel batek oraindik inork mantendu nahi ez zuen saio bat eduki dezake.