Kaai fernije, opnij ferbine of opnij autentisearje: wat hawwe jo nedich?
In kaaifernijing wikselet sesjekaaien, in opnij ferbining bout de ferbining wer op en opnij autentisearjen werhellet de identiteit. Se trochinoar helje liedt ta de ferkearde reparaasje.
In sesje dy’t oeren draait sil net foar altyd deselde kaaien hâlde, en dat is mei sin. Trije ferskillende barrens wurde kaairotasjon neamd: nij sesjemateriaal ûnder in besteande assosjaasje, in folsleine weropbou fan ’e ferbining en in werhelling fan ’e identiteitskontrôle. Elk hat in oare oanlieding, oare kosten en in oare fal-signatuer. Kies jo de ferkearde, dan docht de reparaasje óf neat óf hellet de tunnel sûnder reden del.
De beslissing hinget derfan ôf hokker laach eins ferrûn is.
Trije bewurkingen dy’t rotasjon neamd wurde
In kaaifernijing makket nije ferkierskaaien yn ’e besteande kontrôleferhâlding, mei it meganisme dat it protokol definiearret. IKEv2 docht dat mei in nije child security association, TLS 1.3 mei in kaaifernijingsberjocht, en WireGuard mei in nije hânjouwing sadree’t syn tiid- of berjochtlimiten berikt wurde. De tunneladressen en de autentisearre identiteit bliuwe wêr’t se wiene.
In opnij ferbinen smyt de ferbining fuort en bout dy fan it begjin ôf wer op, wat adrestawizing, rûteynstallaasje en alle ûnderhanneling fan ’e earste poging werhellet.
Opnij autentisearje werhellet it identiteitsbewiis sels, dat oanmeldgegevens, in sertifikaat of in twadde faktor omfetsje kin. It kin mei of sûnder opnij ferbinen barre, ôfhinklik fan it produkt.
Wat brûkers by fernijing merke
In kaaifernijing heart hast ûnsichtber te wêzen. Assosjaasje-identifikaasjes feroarje, tellers kinne weromset wurde, en applikaasjes hâlde har sockets; in koarte pauze yn ien rjochting is normaal by de útwikseling. In nije identifikaasje yn in statuslist is gjin bewiis fan in fout. De logrigel nei de útwikseling fertelt jo oft it klear is.
In echte ûnderbrekking by fernijing wiist nei eat spesifyks. In misferstân yn it foarstel, ferrûne oanmeldgegevens of in feroare paad jouwe elk in oare logrigel, en allinnich ien dêrfan wurdt reparearre troch libbensduorren oan te passen.
Wêr’t de trije yn ’e praktyk útinoar geane
As it iennige dat ferrûn is kaaimateriaal is, fernij de kaai. As it peeradres, de rûte of de NAT-bining feroare is en pakketten komme net mear oan, ferbyn opnij. As de organisaasje in periody ske identiteitskontrôle easket, is dat opnij autentisearje en gjin inkele libbensdoeroanpassing ferfangt dat.
Protokolstanderts befetsje meastentiids it juste antwurd. WireGuard fernijt kaaien nei in tiid- en datavolumdrompel sûnder aksje fan ’e brûker; IKEv2-libbensduorren wurde per child-assosjaasje úthannele; TLS-basearre tunnels rotearje kaaien yn ’e besteande sesje. Libbensduorren ferheegje om in weromkommende flater te foarkommen skoot de fal út en ferlingt de bleatstelling as in kaai kompromittearre wurdt.
Ien betingst is wichtich foar lange sesjes: frekwinsje allinnich makket gjin forward secrecy. De eigenskip hinget derfan ôf hoe’t sesjekaaien mei langtermyngeheimen ferbân hâlde en oft âlde kaaien ferneatige wurde, wat in kwestje fan ûntwerp en ymplemintaasje is, net fan ynstelling.
Kies standerts en registrearje dan de faze
Hâld de standerts fan ’e leveransier oan, útsein as in dokumintearre eask oars seit, en feroarje libbensduorren by beide peers as jo se hielendal feroarje. Registrearje dan hokker faze elk barren berikt hat, sadat it folgjende gefal tsjin itselde punt yn ’e hânjouwing kontrolearre wurde kin.
swanctl --list-sas ip xfrm state | grep -E 'proto|replay-window' wg show journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'
Nei in korreksje doch in kontrolearre fernijing en stjoer farsk applikaasjeforkear troch de nije assosjaasje. In tunnel dy’t as fêstige rapportearret mar neat trochjout, is de fal dy’t dizze kontrôle fange moat.