IKEv2: kaaifernijing tsjin werautentikaasje — wêrom’t de ferbining letter falle

De tunnel komt moarns op en wurket oeren. Dan falt er fuort, ferbynt wer nei ien besykjen en docht de oare deis itselde. Der is neat op it netwurk feroare en nimmen hat in wachtwurd oanrekke. Sesjes dy’t by in fernijingsgrins mislearje, stekke meastentiids ien fan twa ferskillende bewurkingen oer, en mar ien fan beide kontrolearret dyn ynloggegevens opnij. Lêze hokker fan de twa ôfgie, is de hiele diagnoaze.

Twa bewurkingen dy’t fan bûten itselde lykje

Kaaifernijing ferfangt befeiligingsassosjaasjes of kaaimateriaal binnen de troch it protokol bepaalde útwikseling. Autentikaasje wurdt net werhelle, sadat de identiteit dy’t by de start fan de sesje akseptearre is, gewoan foarút droegen wurdt.

Werautentikaasje giet fierder: it bouwt in nije autentisearre relaasje op, wat betsjut dat de ynloggegevens opnij beoardiele wurde. Alles wat ferflein is, weromlutsen is of yn ’t adresboek feroare is, wurdt op dat stuit sichtber.

Wat in kaaifernijing eins ferfangt

IKEv2 hâldt twa soarten assosjaasjes mei aparte libbenssyklusen. De IKE SA beskermet it kontrôlekanaal, en CHILD SA’s beskermje it echte ferkear. Ien fernije is gjin synonym foar de klant opnij ferbine.

Dy skieding ferklearret in fertroud patroan: ferkear streamt goed, dan wurdt in CHILD SA fernijd en de foarstelling past net mear, om’t immen wiken earder faze 2 oan ien kant bewurke hat. De feroaring lei dêr sûnder skea oant de fernijing it útoefene.

Unienichheden yn libbensdoer hâlde har itselde. Hokker kant it earst syn limyt berikt, begjint de útwikseling, en de oare moat it akseptearje.

Wat werautentikaasje opnij beoardielet

By werautentikaasje kin it kliïntsertifikaat dat by it oanmelden jildich wie no ferflein wêze. In weromlutsen ynloggegevens, in rotearre wachtwurd of in net beskikbere twadde faktor komme hjir allegear boppe, net op ’t stuit fan fernijing.

Dêrom fielt it ferlingjen fan elke libbensdoer as in reparaasje en is it dat net. Do hast de kontrôle útskaat ynstee fan trochstien. De folgjende fernijing komt mei deselde brek en in koarter falsterfinster om it te merken.

Guon ymplemintaasjes oerlaapje âlde en nije steat by werautentikaasje. Oaren meitsje in koarte gat. Identike ynstellings by twa leveransiers kinne dêrom ferskillende brûkersûnderfiningen jaan. Test it gedrach ynstee fan oan te nimmen dat de standert it foarskriuwt.

Lês de tiidstimpels foar’t do wat feroarest

Fêstlizze it stuit fan falen tegearre mei de steat fan ’e assosjaasje foar en nei. As de âlde assosjaasje ferfongen is sûnder autentikaasje-útwikseling, wiest do by in fernijingsgrins. As krekt foar de falen in AUTH-útwikseling ferskynt, wiest do by in werautentikaasje.

strongSwan biedt dit as aparte ynstellings: rekey regelet kaaifernijing, reauth regelet oft in nije autentikaasje bart, en margin-wearden beslute hoefier foar de ferfaldatum elk begjint. de dokumintaasje oer kaaifernijing beskriuwt de ynteraksje, en it is de muoite wurdich om it te lêzen foar’t do in libbensdoer fan in forumberjocht kopiearrest.

Untskiede dit alles fan in gewoan netwurkferlies. In brutsen keppeling makket in barren fan dead-peer-deteksje of in stoarm fan weromstjoeringen, net in skjinne útwikseling mei oerienkommende foarstellen.

Feroarje dat wat mislearre

In ôfwizing fan ynloggegevens freget om it identiteitsprobleem te reparearjen: fernij it sertifikaat, set it akkount werom, registrearje de faktor opnij. In unienichheid yn foarstelling of libbensdoer freget om de parameters oan beide kanten te fergelykjen.

Libbensdoeren útlûke om it symptoom te mijen is de iennige opsje dy’t altyd liket as hawwe it wurke en nea wurket.

Test in kontrolearre fernijing

Twang de fernijing yn stee fan in dei derop te wachtsjen. Werhelje it dan mei in werautentikaasje as de útrol it ien stipet, en besjoch beide einen.

In slagge earste oanmelding oefent hjir neat fan. De libbenssyklus dêrnei is wêr’t dizze útrollen echt brekke.