Berrizifratzea, berrikonektatzea edo berrautentikatzea: zein behar duzu?
Berrizifratzeak saio-gakoak aldatzen ditu, berrikonektatzeak konexioa berreraikitzen du eta berrautentikatzeak identitatea errepikatzen du. Hauek nahasteak konponketa okerra ekarriko du.
Orduak martxan daraman saio batek ez ditu gako berak betiko gordeko, eta hori nahita da. Hiru gertaera desberdini gako-errotazio deitzen zaie: lehendik dagoen elkarte baten pean saio-material berria, konexioaren berreraikuntza osoa eta identitate-egiaztapenaren errepikapena. Bakoitzak eragile, kostu eta hutsegite-arrasto desberdinak ditu. Okerra aukeratzen baduzu, konponketak ez du ezer egingo edo tunela arrazoirik gabe botako du.
Erabakia zein geruza iraungi den zehazki jakitearen mende dago.
Errotazio deitzen zaien hiru eragiketa
Berrizifratzeak trafiko-gako berriak sortzen ditu lehendik dagoen kontrol-harremanaren barruan, protokoloak definitzen duen mekanismoa erabiliz. IKEv2-k segurtasun-elkarte ume berri batekin egiten du, TLS 1.3-k gako-eguneratze mezu batekin eta WireGuard-ek eskuko-lotura berri batekin bere denbora- edo mezu-mugak iristen direnean. Tunelaren helbideak eta autentifikatutako identitatea zeuden lekuan geratzen dira.
Berrikonektatzeak konexioa baztertu eta hasieratik berreraikitzen du, eta horrek helbide-esleipena, bideen instalazioa eta lehen saiakerak egin zuen edozein negoziazio errepikatzen ditu.
Berrautentikatzeak identitate-froga bera errepikatzen du, eta horrek kredentzial bat, ziurtagiri bat edo bigarren faktore bat ekar dezake. Berrikonektatzearekin edo gabe gerta daiteke, produktuaren arabera.
Zer nabaritzen duten erabiltzaileek berritzean
Berrizifratzea ia ikusezina izan beharko litzateke. Elkarte-identifikatzaileak aldatzen dira, kontagailuak berrezar daitezke eta aplikazioek beren socketak mantentzen dituzte; norabide bateko eten labur bat normala da trukean zehar. Egoera-zerrendan identifikatzaile berri bat ikustea ez da akats baten froga. Trukearen ondorengo erregistro-lerroa da amaitu den ala ez esaten dizuna.
Berritzean izandako etete erreala zerbait zehatzera doa. Proposamen-desadostasunak, iraungitako kredentzialek edo bide-aldaketak bakoitzak erregistro-lerro desberdina sortzen du, eta horietako bat baino ez da konpontzen biziraupenak doituta.
Non banatzen diren hirurak praktikan
Iraungi den gauza bakarra gako-materiala bada, berrizifratu. Parearen helbidea, bidea edo NAT lotura aldatu bada eta paketeak jada iristen ez badira, berrikonektatu. Erakundeak aldizkako identitate-egiaztapena eskatzen badu, hori berrautentikatzea da eta biziraupenen doikuntza batek ere ez du ordezkatzen.
Protokoloen balio lehenetsiek erantzun zuzena izaten dute. WireGuard-ek gakoak aldatzen ditu denbora- eta datu-bolumen atalase baten ondoren, erabiltzailearen ekintzarik gabe; IKEv2-ren biziraupenak elkarte ume bakoitzeko negoziatzen dira; TLS-n oinarritutako tunelak gakoak saio existentearen barruan errotatzen ditu. Biziraupenak igotzeak errore errepikakorra saihesteko hutsa atzeratzen du eta esposizioa luzatzen du gako bat konprometitzen bada.
Kontuzko ohar bat garrantzitsua da saio luzeetarako: maiztasunak bakarrik ez du aurreranzko sekretutasunik sortzen. Propietatea saio-gakoek epe luzeko sekretuekin duten harremanaren eta gako zaharrak suntsitzen diren ala ezaren mende dago, eta hori diseinu eta inplementazio kontua da, ez ezarpen bat.
Aukeratu lehenespenak eta gero erregistratu etapa
Mantendu hornitzailearen lehenespenak, baldintza dokumentatu batek kontrakoa esaten ez badu, eta aldatu biziraupenak bi pareetan behintzat aldatzen badituzu. Gero erregistratu gertaera bakoitza zein etapara iritsi zen, hurrengo gertaera eskuko-loturaren puntu beraren aurka egiaztatu ahal izateko.
swanctl --list-sas ip xfrm state | grep -E 'proto|replay-window' wg show journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'
Zuzenketa baten ondoren, egin berritze kontrolatu bat eta bidali aplikazio-trafiko berria elkarte berritik. Ezarrita dagoela dioen baina ezer birbidaltzen ez duen tunela da egiaztapen hau harrapatzeko dagoen hutsa.