SA:iden elinajat IKEv2:ssa: pehmeä avainten uusinta, kova vanhentuminen, erillinen uudelleentodennus

Ajastimet päättävät, milloin tunnelin avaimet vaihdetaan, ja kaksi osallista kynnysarvoa luetaan usein yhdeksi. Ne eivät ole. Pehmeä elinikä pyytää vastapuolta rakentamaan korvaavan yhteyden, kun nykyinen tietoturvayhteys vielä kuljettaa liikennettä, ja kova elinikä on määräaika, jonka jälkeen vanha yhteys on poissa riippumatta siitä, toimiko korvaaja. Niiden välissä on päällekkäisyysikkuna, joka on olemassa, jotta paketit eivät putoa aukkoon.

Mitä elinikä oikeastaan rajoittaa

IPsec-tietoturvayhteys on nippu salausmenetelmällistä tilaa: avaimet yhtä suuntaa varten, tietoturvaparametri-indeksi, algoritmijoukko ja valitsin. Elinikä rajoittaa, kuinka kauan tätä tilaa saa käyttää, mikä rajoittaa, kuinka paljon liikennettä yksi avain suojaa. Se on avaimen rajoitustoimenpide, ei väite siitä, kuinka kauan käyttäjän istunnon pitäisi kestää.

IKE:n ohjausyhteyksillä on omat avaimensa ja omat elinikänsä, erillään lapsiyhteyksistä, jotka kuljettavat dataa. Tässä ihmiset ensimmäisen kerran sekoittavat kaksi aikataulua.

Pehmeä aloittaa korvaamisen, kova lopettaa vanhan tilan

Kun pehmeä kynnys lähestyy, vastapuoli käynnistää korvaamisen. Toteutukset laukeavat yleensä aikaisin ja satunnaistavat hetken, jottei satojen tunnelien keskitin uusi kaikkien avaimia kerralla. IKEv2:ssa korvaaminen on CREATE_CHILD_SA-vaihto, joka kuljettaa tuoreet noncet, sekä Diffie-Hellman-vaihto, kun täydellinen eteenpäin suuntautuva salaisuus on määritetty. Tuloksena on uusi yhteyspari uusilla avaimilla.

Päällekkäisyys on merkityksellistä. Lyhyen aikaa vastapuoli voi pitää sekä vanhaa että uutta yhteyttä, ja kaappaus voi näyttää kaksi tunnistejoukkoa. Se on mekanismi työssään, ei vika.

Kova kynnys ei armahda. Jos korvaaminen ei ole siihen mennessä valmis, vanha yhteys on poistettava käytöstä ja vain sen suojaama liikenne pysähtyy. Toistuvat epäonnistuneet avainten uusinnat, jotka jatkuvat aina kovaan vanhentumiseen ovat operatiivinen merkki tutkia, koska tunnelia pidetään pystyssä määräajalla joka sykli.

Käyttörajat voivat laueta ennen mitään kelloa

Aika ei ole ainoa raja. Toteutukset voivat rajoittaa tavuja tai paketteja, joita yksi avain suojaa, ja vilkas tunneli saavuttaa käyttörajan kauan ennen monen tunnin ajastinta. strongSwan tarjoaa erilliset eliniän ja marginaalin asetukset ajalle, tavuille ja paketeille, mikä tarkoittaa, että tehollinen uusintapiste on se kynnys, joka saapuu ensin, miinus määritetty marginaali.

Kun tunneli uusiutuu paljon useammin kuin sen määritetyt tunnit antavat ymmärtää, tarkista tavu- ja pakettirajat ennen kellon syyttämistä. Kyllästetty linkki ja joutilas linkki samoilla aika-asetuksilla saavat näkyvästi erilaiset avainten uusintanopeudet, ja vain toinen niistä seuraa ajastinta.

Jokainen vastapuoli toteuttaa omaa käytäntöään

IKEv2 ei neuvottele yhtä elinikää, joka molempien vastapuolten olisi näytettävä identtisesti. Kumpikin osapuoli soveltaa paikallista käytäntöään ja voi käynnistää korvaamisen, kun sen oma raja lähestyy, kuten RFC 7296 luvussa 2.8 kuvataan. Siksi kahden vastapuolen määritettyjen tuntien ero ei ole automaattisesti vika, vaikka hyvin erilaiset arvot voivat aiheuttaa häiriötä, jos toinen osapuoli korvaa jatkuvasti tilaa, jonka toinen juuri asensi.

Koordinaatio tarkoittaa yhteensopivaa käyttäytymistä: vaihtoon riittävän pitkät päällekkäisyysikkunat, marginaalit, jotka jättävät tilaa uusintayrityksille, ja seuranta, joka näyttää kumpi osapuoli käynnisti kunkin uusinnan.

Avainten uusinta ei ole uudelleentodennus

Avainten uusinta virkistää avaimet olemassa olevan todennetun suhteen puitteissa. Uudelleentodennus toistaa henkilöllisyyden tarkistuksen, oli se sitten varmentenvaihto tai EAP-keskustelu. Molemmat toimivat erillisillä aikatauluilla, eikä onnistunut uusinta kerro mitään siitä, pitäisikö tilillä yhä olla pääsy.

Tämä ero on tärkeä peruuttamiselle. Tilin poistaminen käytöstä, varmenteen peruuttaminen tai istunnon päättäminen ovat pääsypäätöksiä, jotka vaativat toteutuksessa nimenomaisen käytännön; ne eivät seuraa SA-ajastimesta, ja avainten uusinta voi jatkua tyytyväisenä henkilöllisyydelle, jolta oikeudet on jo poistettu.

Mitä kirjata tunnelia kohti

Kirjaa, mikä yhteys laukaisi uusinnan, vanhat ja uudet tunnisteet, mikä kynnys laukesi ja valmistuiko korvaaminen päällekkäisyyden sisällä. Ne neljä kenttää tekevät uusintaongelman näkyväksi ennen kuin siitä tulee katkos, ja ne erottavat aggressiivisen käytännön epäonnistuvasta.

Pidä pääsyn poistamisen aikataulu kyseisen tietueen vieressä, ei sen sisällä. Salausmenetelmällinen hygienia ja henkilöllisyyskäytäntö ovat eri kontrolleja, ja avaimia ajallaan pyörittävä tunneli voi yhä pitää istuntoa, jota kukaan ei tarkoittanut säilyttää.