IKEv2 માં SA જીવનકાળ: નરમ કી રીન્યુ, કઠોર સમાપ્તિ, અલગ પુનઃપ્રમાણીકરણ

ટાઈમર નક્કી કરે છે કે ટનલની કી ક્યારે બદલાય, અને સંકળાયેલા બે થ્રેશોલ્ડને ઘણી વાર એક તરીકે વાંચવામાં આવે છે. તે એક નથી. નરમ જીવનકાળ પીઅરને વિનંતી કરે છે કે વર્તમાન સુરક્ષા સંગઠન હજુ ટ્રાફિક વહન કરે ત્યારે રિપ્લેસમેન્ટ બનાવે, અને કઠોર જીવનકાળ તે સમયમર્યાદા છે જે પછી જૂનું સંગઠન ગયું ભલે રિપ્લેસમેન્ટ કામ કર્યું હોય કે નહીં. તેમની વચ્ચે ઓવરલેપ વિન્ડો છે જે એટલા માટે છે કે પેકેટ ખાલી જગ્યામાં ન પડે.

જીવનકાળ ખરેખર શું મર્યાદિત કરે છે

IPsec સુરક્ષા સંગઠન એ ક્રિપ્ટોગ્રાફિક સ્થિતિનું બંડલ છે: એક દિશા માટે કી, સુરક્ષા પરિમાણ ઇન્ડેક્સ, અલ્ગોરિધમ સમૂહ અને સિલેક્ટર. જીવનકાળ મર્યાદિત કરે છે કે તે સ્થિતિ કેટલા સમય વપરાઈ શકે, જે મર્યાદિત કરે છે કે એક કી કેટલો ટ્રાફિક સુરક્ષિત રાખે. તે કી માટે સમાવેશ પગલું છે, વપરાશકર્તાનું સત્ર કેટલું લાંબુ ચાલવું જોઈએ તે અંગેનું નિવેદન નથી.

IKE નિયંત્રણ સંગઠનોની પોતાની કી અને પોતાના જીવનકાળ હોય છે, જે ડેટા વહન કરતા ચાઈલ્ડ સંગઠનોથી અલગ છે. અહીં જ લોકો બે સમયપત્રક ભેગા કરે છે.

નરમ રિપ્લેસમેન્ટ શરૂ કરે છે, કઠોર જૂની સ્થિતિ સમાપ્ત કરે છે

જ્યારે નરમ થ્રેશોલ્ડ નજીક આવે, પીઅર રિપ્લેસમેન્ટ શરૂ કરે છે. અમલીકરણો સામાન્ય રીતે વહેલા ચાલુ થાય છે અને ક્ષણને રેન્ડમાઇઝ કરે છે જેથી સેંકડો ટનલ ધરાવતું હેડએન્ડ બધાની કી એકસાથે રીન્યુ ન કરે. IKEv2 માં રિપ્લેસમેન્ટ એ તાજા nonce ધરાવતું CREATE_CHILD_SA વિનિમય છે, સાથે Diffie-Hellman વિનિમય પણ જ્યારે સંપૂર્ણ ફોરવર્ડ ગોપનીયતા ગોઠવાયેલી હોય. પરિણામ નવી કી સાથેની નવી જોડી છે.

ઓવરલેપ મહત્વનો છે. થોડા સમય માટે પીઅર જૂનું અને નવું સંગઠન રાખી શકે, અને કેપ્ચર બે સેટ ઓળખકર્તા દર્શાવી શકે. તે મિકેનિઝમ કામ કરી રહ્યું છે, ખામી નથી.

કઠોર થ્રેશોલ્ડ માફ કરતું નથી. જો ત્યાં સુધીમાં રિપ્લેસમેન્ટ પૂર્ણ ન થાય, તો જૂનું સંગઠન નિવૃત્ત કરવું પડે અને ફક્ત તેનાથી સુરક્ષિત ટ્રાફિક અટકે છે. વારંવાર નિષ્ફળ કી રીન્યુ જે કઠોર સમાપ્તિ સુધી પહોંચે છે તપાસ માટેનો ઓપરેશનલ સંકેત છે, કારણ કે ટનલ દરેક ચક્રમાં એક સમયમર્યાદા પર ટકી રહે છે.

વપરાશ મર્યાદાઓ કોઈપણ ઘડિયાળ પહેલાં ચાલુ થઈ શકે છે

સમય એ એકમાત્ર મર્યાદા નથી. અમલીકરણો એક કીથી સુરક્ષિત બાઇટ અથવા પેકેટની મર્યાદા મૂકી શકે, અને વ્યસ્ત ટનલ ઘણા કલાકના ટાઈમર પહેલાં જ વપરાશ મર્યાદા સુધી પહોંચશે. strongSwan સમય, બાઇટ અને પેકેટ માટે અલગ જીવનકાળ અને માર્જિન સેટિંગ્સ આપે છે, એટલે કે અસરકારક નવીકરણ બિંદુ એ છે જે થ્રેશોલ્ડ પહેલાં આવે, બાદમાં ગોઠવેલું માર્જિન બાદ કરીને.

જ્યારે ટનલ તેના ગોઠવેલા કલાકો સૂચવે તેનાથી ઘણી વધુ વાર નવીકરણ પામે, ત્યારે ઘડિયાળને દોષ આપતા પહેલાં બાઇટ અને પેકેટ મર્યાદા તપાસો. સમાન સમય સેટિંગ્સ સાથેની સંતૃપ્ત લિંક અને નિષ્ક્રિય લિંકની કી રીન્યુ દર સ્પષ્ટ રીતે અલગ હશે, અને તેમાંથી ફક્ત એક જ ટાઈમરને અનુસરે છે.

દરેક પીઅર પોતાની નીતિ લાગુ કરે છે

IKEv2 એક એવો જીવનકાળ વાટાઘાટ કરતું નથી જે બંને પીઅરને સમાન રીતે દર્શાવવો પડે. દરેક પક્ષ પોતાની સ્થાનિક નીતિ લાગુ કરે છે અને પોતાની મર્યાદા નજીક આવે ત્યારે રિપ્લેસમેન્ટ શરૂ કરી શકે, જેમ RFC 7296 વિભાગ 2.8 માં વર્ણવ્યું છે. તેથી બે પીઅરનાં ગોઠવેલા કલાકો વચ્ચેનો તફાવત આપોઆપ ખામી નથી, જોકે ખૂબ જ અલગ મૂલ્યો અશાંતિ ઊભી કરી શકે જો એક પક્ષ સતત એ સ્થિતિ બદલતો રહે જે બીજાએ હમણાં જ સ્થાપિત કરી છે.

સંકલન એટલે સુસંગત વર્તન: વિનિમય માટે પૂરતી લાંબી ઓવરલેપ વિન્ડો, ફરી પ્રયાસ માટે જગ્યા છોડતું માર્જિન, અને મોનિટરિંગ જે દર્શાવે કે કઈ બાજુએ દરેક નવીકરણ શરૂ કર્યું.

કી રીન્યુ એ પુનઃપ્રમાણીકરણ નથી

કી રીન્યુ હાલના પ્રમાણિત સંબંધ હેઠળ કી તાજી કરે છે. પુનઃપ્રમાણીકરણ ઓળખ ચકાસણીનું પુનરાવર્તન કરે છે, પછી તે પ્રમાણપત્ર વિનિમય હોય કે EAP વાતચીત. બંને અલગ સમયપત્રક પર ચાલે છે અને સફળ રીન્યુ એ કહેતું નથી કે ખાતાને હજુ પ્રવેશ હોવો જોઈએ કે નહીં.

આ ભેદ રદ કરવા માટે મહત્વનો છે. ખાતું નિષ્ક્રિય કરવું, પ્રમાણપત્ર રદ કરવું કે સત્ર સમાપ્ત કરવું એ પ્રવેશ નિર્ણયો છે જેને અમલીકરણમાં સ્પષ્ટ નીતિની જરૂર છે; તે SA ટાઈમરમાંથી આવતા નથી, અને કી રીન્યુ એ ઓળખ માટે નિરાંતે ચાલુ રહી શકે જેને પહેલેથી અધિકારો લઈ લેવાયા છે.

દરેક ટનલ માટે શું નોંધવું

નોંધો કે કયા સંગઠને નવીકરણ શરૂ કર્યું, જૂના અને નવા ઓળખકર્તા, કયો થ્રેશોલ્ડ ચાલુ થયો અને ઓવરલેપની અંદર રિપ્લેસમેન્ટ પૂર્ણ થયું કે નહીં. તે ચાર ક્ષેત્રો કી રીન્યુની સમસ્યાને અટકાવ બનતા પહેલાં દૃશ્યમાન બનાવે છે, અને આક્રમક નીતિને નિષ્ફળ જતી નીતિથી અલગ પાડે છે.

પ્રવેશ દૂર કરવાનું સમયપત્રક તે રેકોર્ડની બહાર નહીં, પરંતુ તેની બાજુમાં રાખો. ક્રિપ્ટોગ્રાફિક સ્વચ્છતા અને ઓળખ નીતિ અલગ નિયંત્રણો છે, અને સમયસર કી ફેરવતી ટનલ હજુ પણ એવું સત્ર રાખી શકે છે જે કોઈએ રાખવાનું નહોતું ધાર્યું.