IKEv2: avainten uusiminen vastaan uudelleentodennus — miksi yhteys katkeaa myöhemmin

Tunneli nousee aamulla ja toimii tunteja. Sitten se katkeaa, yhdistää uudelleen yhden yrityksen jälkeen ja tekee saman seuraavana päivänä. Verkossa ei muuttunut mikään eikä kukaan koskenut salasanaan. Istunnot, jotka epäonnistuvat uusimisrajalla, ylittävät yleensä yhden kahdesta eri toimenpiteestä, ja vain toinen niistä tarkistaa tunnuksesi uudelleen. Sen lukeminen, kumpi laukesi, on koko diagnoosi.

Kaksi toimenpidettä, jotka näyttävät ulkoa samanlaisilta

Avainten uusiminen korvaa tietoturvayhteydet tai avainmateriaalin protokollan määrittämän vaihdon puitteissa. Todennusta ei toisteta, joten istunnon alussa hyväksytty identiteetti vain siirretään eteenpäin.

Uudelleentodennus menee pidemmälle: se luo tuoreen todennetun suhteen, mikä tarkoittaa, että tunnukset arvioidaan uudelleen. Kaikki vanhentunut, peruttu tai hakemistossa muutettu tulee näkyviin juuri sillä hetkellä.

Mitä avainten uusiminen todella korvaa

IKEv2 pitää kahta yhteystyyppiä erillisillä elinkaarillaan. IKE SA suojaa ohjauskanavaa ja CHILD SA:t suojaavat varsinaisen liikenteen. Yhden uusiminen ei ole synonyymi asiakkaan uudelleenyhdistämiselle.

Tämä erottelu selittää tutun kuvion: liikenne kulkee hyvin, sitten CHILD SA uusitaan eikä ehdotus enää sovi, koska joku muokkasi vaihetta 2 toisella puolella viikkoja aiemmin. Muutos istui siellä harmittomana, kunnes uusiminen pani sen täytäntöön.

Elinikien yhteensopimattomuudet käyttäytyvät samoin. Kumpi osapuoli saavuttaa rajansa ensin, aloittaa vaihdon, ja toisen on hyväksyttävä se.

Mitä uudelleentodennus arvioi uudelleen

Uudelleentodennuksessa kirjautumishetkellä voimassa ollut asiakasvarmenne voi nyt olla vanhentunut. Peruttu tunnus, kierrätetty salasana tai käyttämätön toinen tekijä tulevat kaikki esiin täällä, eivät uusimishetkellä.

Siksi jokaisen eliniän pidentäminen tuntuu korjaukselta eikä ole sitä. Siirsit tarkistuksen myöhemmäksi sen sijaan, että olisit läpäissyt sen. Seuraava uusiminen tulee saman vian kanssa ja lyhyemmällä katkosikkunalla sen huomaamiseen.

Jotkin toteutukset limittävät vanhaa ja uutta tilaa uudelleentodennuksen aikana. Toiset tuottavat lyhyen aukon. Siksi identtiset asetukset kahdella toimittajalla voivat antaa erilaisia käyttökokemuksia. Testaa käyttäytyminen sen sijaan, että olettaisit standardin määräävän sen.

Lue aikaleimat ennen kuin muutat mitään

Tallenna epäonnistumishetki yhdessä yhteyden tilan kanssa ennen ja jälkeen. Jos vanha yhteys korvattiin ilman todennusvaihtoa, olit uusimisrajalla. Jos juuri ennen epäonnistumista näkyy AUTH-vaihto, olit uudelleentodennuksessa.

strongSwan tarjoaa tämän erillisinä asetuksina: rekey ohjaa avainten uusimista, reauth ohjaa sitä, tapahtuuko uusi todennus, ja margin-arvot päättävät, kuinka kauan ennen vanhenemista kumpikin alkaa. avainten uusimisen dokumentaatio kuvaa vuorovaikutuksen, ja se kannattaa lukea ennen kuin kopioit eliniän foorumiviestistä.

Erottele kaikki tämä tavallisesta verkkohäviöstä. Katkennut linkki tuottaa kuolleen vastapuolen tunnistustapahtuman tai uudelleenlähetysmyrskyn, ei puhdasta vaihtoa täsmäävine ehdotuksineen.

Muuta sitä, mikä epäonnistui

Tunnusten hylkäys vaatii identiteettiongelman korjaamisen: uusi varmenne, palauta tili, rekisteröi tekijä uudelleen. Ehdotuksen tai eliniän ristiriita vaatii parametrien vertaamisen molemmilla puolilla.

Elinikien venyttäminen oireen välttämiseksi on ainoa vaihtoehto, joka näyttää aina onnistuneen eikä koskaan onnistu.

Testaa hallittu uusiminen

Pakota uusiminen sen sijaan, että odottaisit päivän. Toista sitten uudelleentodennuksella, jos käyttöönotto tukee sitä, ja tarkkaile molempia päitä.

Onnistunut ensimmäinen kirjautuminen ei harjoita mitään tästä. Sen jälkeinen elinkaari on paikka, jossa nämä käyttöönotot todella hajoavat.