Wêrom’t jo IPsec-tunnel wurket oant de earste CHILD SA-kaaifernijing

De tunnel kaam omheech, de ping antwurde en allegear setten harren hantekening. Fjouwer oeren letter falt de sesje fuort, de peers logge in flater yn ’e foarstel of kaaie-útwikseling, en de earste gissing is dat der eat op it netwurk feroare is. Der is neat feroare. In tunnel dy’t ferkear draacht, hat bewiisd dat de beide peers it iens binne oer hoe’t se autentisearje en hoe’t se de earste bernassosjaasje beskermje, en hy hat neat bewiisd oer de kaaie-útwikseling dy’t se by fernijing easkje sille. De ôfwiking sit yn ’e kleau tusken dy beide barrens.

Ferbûn betsjut net dat de PFS-ynstellings oerienkomme

Mei IKEv2 wurdt de earste bernassosjaasje by de autentikaasje-útwikseling oanmakke, en har kaaien wurde ôflaat fan materiaal dat de IKE-assosjaasje al produsearre hat. Foar dat bern bart gjin aparte Diffie-Hellman-útwikseling, dus in belied dat by fernijing ien easket, wurdt by it opbouwen net besocht.

Fernijing is in oare útwikseling. As de kaai fan in bernassosjaasje fernijd wurdt, kinne de peers in nije kaaie-útwikseling dwaan mei de groep dy’t yn har foarstellen neamd wurdt, en dat is it earste momint dat de groepsynstellings ferlike wurde. Twa peers dy’t ferskille kinne dêrom autentisearje, in bernassosjaasje ynstallearje en ferkear trochlitte, en dan by de fernijing mislearje.

Wêr’t de ôfwiking him yn ’e foarstel-string ferskûlet

Yn strongSwan wurdt de groep oan it bernfoarstel taheakke, dêrom liket in string as aes256gcm16-prfsha256-ecp256 op in kodearringskeuze mar draacht er ek in eask foar kaaie-útwikseling. In peer dy’t allinnich aes256gcm16-prfsha256 oanbiedt, hat sa’n eask net, en de beide listen oerlaapje op kodearring wylst se ferskille op ’e útwikseling.

Lês it bernfoarstel en it IKE-foarstel as aparte listen. In groep dy’t yn ’e IKE-list ferskynt, seit neat oer de bernlist, en ien bewurkje wylst jo de oare lêze is de gewoane manier wêrop’t dit mist wurdt.

Lês de flater, net it bestân dat jo bewurke hawwe

Fyn de notify dy’t de útwikseling einige. In bernkaaifernijing dy’t gjin akseptabel foarstel weromjout, wiist nei de foarstellisten; in fernijingsfersyk dat nea antwurd krijt, wiist nei it paad of nei in peer dy’t opholden is mei harkjen. Dy beide freegje om ferskillende oplossings, en de bewurding fan ’e logrigel skiedt se.

Befêstigje de rinnende konfiguraasje ynstee fan dy op skiif. In bestân dat bewarre mar net laden is, of in ferbining dy’t út in oare include opnij lêzen is, sil in ôfwiking jaan dy’t gjin bewurking fan it sichtbere bestân ferhelpe kin.

Trije barrens dy’t allegear kaaifernijing neamd wurde

Kaaifernijing fan ’e IKE-assosjaasje, IKE-werautentikaasje en kaaifernijing fan ’e bernassosjaasje binne aparte operaasjes mei aparte foarstelregels. In flater dy’t by ien fan harren rapportearre wurdt, seit neat direkt oer de oaren, en in log dy’t se monget, wurdt lêzen as ien weromkommende stoaring wylst it der trije binne.

Merk op hokker barren de peer neamt, en kontrolearje dan allinnich de foarstellen foar dat barren. Feroarje ien list, laad opnij en twing itselde barren nochris ôf. As de log in werautentikaasje neamt, is it IKE-foarstel datjinge dat lêzen wurde moat. As er in bernkaaifernijing neamt, draacht it bernfoarstel de groep dy’t fan belang is.

Fernijing útsette is gjin oplossing

De fernijingstiid op nul sette ûnderdrukt de útwikseling dy’t mislearret, en de tunnel oerlibbet dan oant er ôfbrutsen wurdt of de peer opnij start. Wat jo kocht hawwe, is in langer libjende kaai en in ôfwiking dy’t jo by in migraasje, in audit of in leveransiersupdate wer treffe sil. Itselde jildt foar libbensdieren dy’t fier boppe it belied lutsen wurde dat de oare kant ferwachtet.

Lynje de foarstellen ynstee út. Kies in groep dy’t beide peers ymplemintearje, set dy yn it bernfoarstel oan beide kanten, en hâld it fernijingsbelied binnen it berik dat de organisaasje echt freget.

Bewiis it mei de útwikseling dy’t mislearre

Koartsje de bernkaaifernijingstiid yn in ûnderhâldsfenster, sadat it barren yn minuten komt ynstee fan oeren, of trigger in handmatige bernkaaifernijing. Sjoch dan foar in suksesfolle fernijing en befêstigje dat ferkear der trochhinne bliuwt gean, want in nije hânskuteling dy’t in bernassosjaasje ynstallearret mar de applikaasjestream falle lit is in oare flater.

Herstel dêrnei de normale libbensdoer en hâld beide barrenregistraasjes, de mislearre en de suksesfolle. It bewiis dat jo wolle, is dat de ferbining har eigen libbenssyklus oerlibbet, net dat se in ping oerlibbe hat.