Zergatik funtzionatzen duen zure IPsec tunelak CHILD SA lehen gako-berritzea arte

Tunela altxatu zen, ping-ek erantzun zuen eta denek sinatu zuten. Lau ordu geroago saioa erortzen da, aldeek proposamen edo gako-truke errore bat erregistratzen dute, eta lehen susmoa sarean zerbait aldatu dela da. Ezer ez zen aldatu. Trafikoa daraman tunel batek frogatu zuen bi aldeak ados daudela nola autentifikatu eta lehen child elkartea nola babestu, eta ez zuen ezer frogatu berritzean eskatuko duten gako-trukeaz. Desadostasuna bi gertaeren arteko hutsunean dago.

Konektatuta egoteak ez du esan nahi PFS ezarpenak bat datozenik

IKEv2rekin, lehen child elkartea autentifikazio-trukean sortzen da, eta bere gakoak IKE elkarteak jada sortu duen materialetik eratortzen dira. Child horretarako ez da Diffie-Hellman truke bereizirik egiten, beraz berritzean bat eskatzen duen politika ez da altxatzean probatzen.

Berritzea beste truke bat da. Child elkarte baten gakoa berritzen denean, aldeek beren proposamenetan izendatutako taldearekin gako-truke berria egin dezakete, eta hori da taldearen ezarpenak lehen aldiz alderatzen diren unea. Beraz, bat ez datozen bi aldeek autentifikatu, child elkartea instalatu eta trafikoa pasatu dezakete, eta gero berritzean huts egin.

Non ezkutatzen den desadostasuna proposamen-katean

strongSwanen taldea child proposamenari eransten zaio, eta horregatik aes256gcm16-prfsha256-ecp256 bezalako kate batek zifratze-hautapen bat dirudi, baina gako-trukearen baldintza ere badarama. Bakarrik aes256gcm16-prfsha256 eskaintzen duen aldeak ez du baldintza hori, eta bi zerrendak zifratzean bat datoz, baina trukean ez.

Irakurri child proposamena eta IKE proposamena zerrenda bereizi gisa. IKE zerrendan agertzen den talde batek ez du ezer esaten child zerrendaz, eta bat irakurtzen ari zaren bitartean bestea aldatzea da hau saltzeko ohiko modua.

Irakurri hutsegitea, ez aldatu duzun fitxategia

Aurkitu trukea amaitu zuen notify-a. Proposamen onargarririk itzultzen ez duen child gako-berritzeak proposamen-zerrendetara seinalatzen du; inoiz erantzunik jasotzen ez duen berritze-eskaerak bidera edo entzuteari utzi dion aldera seinalatzen du. Bi horiek konponketa desberdinak behar dituzte, eta erregistro-lerroaren idazkerak bereizten ditu.

Baieztatu martxan dagoen konfigurazioa, ez diskoan dagoena. Gorde baina kargatu ez den fitxategi batek, edo beste include batetik berriro irakurritako konexio batek, desadostasuna sortuko du, eta ikusgai dagoen fitxategia editatzeak ez du konponduko.

Guztiek gako-berritze deitzen dituzten hiru gertaera

IKE elkartearen gako-berritzea, IKE berrautentifikazioa eta child elkartearen gako-berritzea eragiketa bereiziak dira, proposamen-arau bereiziekin. Horietako batean jakinarazitako hutsegiteak ez du ezer zuzenik esaten besteez, eta horiek nahasten dituen erregistroa akats errepikakor bakar bat bezala irakurtzen da, hiru direnean.

Ohartu zein gertaera izendatzen duen aldeak, eta gero egiaztatu proposamenak gertaera horretarako soilik. Aldatu zerrenda bat, birkargatu eta behartu gertaera bera berriro. Erregistroak berrautentifikazioa izendatzen badu, IKE proposamena da irakurtzeko dena. Child gako-berritzea izendatzen badu, child proposamenak darama garrantzitsua den taldea.

Berritzea desaktibatzea ez da konponbidea

Gako-berritzearen denbora zerora jartzeak huts egiten duen trukea isilarazten du, eta tunelak orduan bizirik dirau desmuntatu edo aldea berrabiarazi arte. Erosi duzuna bizitza luzeagoko gako bat eta migrazio, auditoria edo hornitzailearen eguneraketa batean berriro topatuko zaituen desadostasun bat da. Gauza bera gertatzen da beste aldeak espero duen politikatik askoz harago luzatutako bizitziekin.

Horren ordez, lerrokatu proposamenak. Aukeratu bi aldeek inplementatzen duten talde bat, jarri child proposamenean bi muturretan, eta eduki berritze-politika erakundeak benetan eskatzen duen barrutian.

Frogatu huts egin zuen trukearekin

Laburtu child gako-berritzearen denbora mantentze-leiho batean, gertaera orduetan beharrean minutuetan irits dadin, edo abiarazi eskuzko child gako-berritze bat. Gero begiratu berritze arrakastatsu bat eta baieztatu trafikoak hortik jarraitzen duela, zeren child elkartea instalatzen duen baina aplikazioaren fluxua uzten duen esku-emate berri bat akats desberdin bat da.

Gero berrezarri ohiko bizitza eta gorde bi gertaeren erregistroak, huts egin zuena eta arrakastatsua. Nahi duzun froga konexioak bere bizitza-zikloa gainditzen duela da, ez ping bat gainditu zuenik.