SA-libbensdoer yn IKEv2: sêfte kaaifernijing, hurde ferfaldatum, aparte werautentikaasje

Timers beslisse wannear't de kaaien fan in tunnel ferfongen wurde, en de beide belutsen drompels wurde faak as ien lêzen. Dat binne se net. In sêfte libbensdoer freget de peir om in ferfanging te bouwen wylst de hjoeddeistige feiligensbân noch ferkear draacht, en in hurde libbensdoer is de deadline wêrnei't de âlde bân fuort is, of de ferfanging no wurke hat of net. Tusken harren leit in oerlapfinster dat bestiet om't pakketten net yn in gat falle moatte.

Wat in libbensdoer eins begrintet

In IPsec-feiligensbân is in bondel kryptografyske tastân: kaaien foar ien rjochting, in feiligensparameter-yndeks, in algoritmeset en in selektor. De libbensdoer begrintet hoe lang dy tastân brûkt wurde mei, wat beheint hoefolle ferkear ien kaai beskermet. It is in yndammingsmaatregel foar de kaai, gjin útspraak oer hoe lang in brûkerssesje duorje moat.

IKE-kontrôlebannen hawwe har eigen kaaien en har eigen libbensdoeren, apart fan 'e bernbannen dy't gegevens drage. Dat is it earste plak dêr't minsken twa skema's trochinoar helje.

Sêft begjint de ferfanging, hurd einiget de âlde tastân

As de sêfte drompel tichterby komt, begjint de peir in ferfanging. Ymplemintaasjes geane meastentiids betiid oan en meitsje it momint tafallich, sadat in haadknooppunt mei hûnderten tunnels net alle kaaien tagelyk fernijt. Yn IKEv2 is de ferfanging in CREATE_CHILD_SA-útwikseling mei nije nonces, plus in Diffie-Hellman-útwikseling as perfekte foarútgeande geheimhâlding ynsteld is. It resultaat is in nij pear bannen mei nije kaaien.

De oerlap is wichtich. In skoft kin de peir de âlde en de nije bân hâlde, en in opname kin twa sets identifiers sjen litte. Dat is it meganisme oan it wurk, gjin flater.

De hurde drompel is ûnferbidlik. As de ferfanging dan net klear is, moat de âlde bân út gebrûk nommen wurde en ferkear dat allinnich dêrtroch beskerme waard, stoppet. Werhelle mislearre kaaifernijingen dy't oant de hurde ferfaldatum trochgeane binne it operasjonele sinjaal om te ûndersykjen, want de tunnel wurdt elke syklus oerein holden troch in deadline.

Gebrûkslimiten kinne foar elke klok ôfgean

Tiid is net de iennichste grins. Ymplemintaasjes kinne de bytes of pakketten beheine dy't ien kaai beskermet, en in drokke tunnel sil in gebrûkslimyt folle earder berikke as in timer fan oeren. strongSwan biedt aparte ynstellingen foar libbensdoer en marzje foar tiid, bytes en pakketten, wat betsjut dat it effektive fernijingspunt de drompel is dy't earst komt, minus de ynstelde marzje.

As in tunnel folle faker fernijt as syn ynstelde oeren suggerearje, kontrolearje dan de byte- en pakketlimiten foardat jo de klok de skuld jouwe. In fersêde keppeling en in idle keppeling mei deselde tiidynstellingen sille sichtber ferskillende kaaifernijingsstadichoan hawwe, en mar ien fan harren folget de timer.

Elke peir hanthavent syn eigen belied

IKEv2 ûnderhannelet gjin iene libbensdoer dy't beide peiren identyk werjaan moatte. Eltse kant past syn pleatslike belied ta en kin ferfanging begjinne as syn eigen limyt tichterby komt, sa't beskreaun is yn RFC 7296 seksje 2.8. Dus is in ferskil tusken de ynstelde oeren fan twa peiren net automatysk in defekt, al kinne hiel ferskillende wearden oproer meitsje as ien kant oan ien wei tastân ferfangt dy't de oare krekt ynstallearre hat.

Koördinaasje betsjut ferienichber hâlden en dragen: oerlapfinsters dy't lang genôch binne foar de útwikseling, marzjes dy't romte litte foar werpogingen, en monitoring dy't sjen lit hokker kant elke fernijing begûn.

Kaaifernijing is gjin werautentikaasje

In kaaifernijing ferfarsket kaaien ûnder de besteande autentisearre relaasje. In werautentikaasje werhellet de identiteitskontrôle, itsij in sertifikaatútwikseling of in EAP-petear. De beide rinne op aparte skema's en in slagge fernijing seit neat oer de fraach oft it akkount noch tagong hawwe moat.

Dat ûnderskie is wichtich foar ynlûken. It útskeakeljen fan in akkount, it ynlûken fan in sertifikaat of it beëinigjen fan in sesje binne tagongsbeslissingen dy't eksplisyt belied yn 'e ymplemintaasje nedich hawwe; se komme net út 'e SA-timer, en in kaaifernijing kin noflik trochgean foar in identiteit dy't al fan rjochten ûntnomd is.

Wat per tunnel fêst te lizzen

Liz fêst hokker bân de fernijing útlokte, de âlde en nije identifiers, hokker drompel ôfgie en oft de ferfanging binnen de oerlap klear kaam. Dy fjouwer fjilden meitsje in fernijingsprobleem sichtber foardat it in útfal wurdt, en se ûnderskiede in agressyf belied fan ien dat mislearret.

Hâld it skema foar it fuortheljen fan tagong njonken dy registraasje yn stee fan deryn. Kryptografyske hygiêne en identiteitsbelied binne ferskillende kontrôles, en in tunnel dy't kaaien op tiid rotearret kin noch hieltyd in sesje hâlde dy't nimmen fan doel wie te behâlden.