તમારી IPsec ટનલ પ્રથમ CHILD SA કી નવીકરણ સુધી કેમ કામ કરે છે

ટનલ ઉપર આવી, ping એ જવાબ આપ્યો અને બધાએ સહી કરી. ચાર કલાક પછી સત્ર પડી જાય છે, સાથીઓ પ્રસ્તાવ અથવા કી-અદલાબદલીની ભૂલ નોંધે છે, અને પ્રથમ ધારણા એ છે કે નેટવર્ક પર કંઈક બદલાયું છે. કંઈ બદલાયું નથી. જે ટનલ ટ્રાફિક વહન કરે છે તેણે સાબિત કર્યું છે કે બંને સાથીઓ પ્રમાણીકરણ કેવી રીતે કરવું અને પ્રથમ ચાઇલ્ડ એસોસિએશન કેવી રીતે સુરક્ષિત કરવું તેના પર સહમત છે, અને નવીકરણમાં તેઓ જે કી-અદલાબદલીની માંગ કરશે તે વિશે કંઈ સાબિત કર્યું નથી. અસંગતિ એ બે ઘટનાઓ વચ્ચેના અંતરમાં બેઠી છે.

કનેક્ટેડ હોવાનો અર્થ એ નથી કે PFS સેટિંગ્સ મળે છે

IKEv2 સાથે, પ્રથમ ચાઇલ્ડ એસોસિએશન પ્રમાણીકરણ અદલાબદલી દરમિયાન બને છે, અને તેની કી IKE એસોસિએશને પહેલેથી ઉત્પન્ન કરેલી સામગ્રીમાંથી લેવાય છે. તે ચાઇલ્ડ માટે અલગ Diffie-Hellman અદલાબદલી થતી નથી, તેથી નવીકરણમાં એકની માંગ કરતી નીતિ ઉઠાવ વખતે ચકાસાતી નથી.

નવીકરણ એ બીજી અદલાબદલી છે. જ્યારે ચાઇલ્ડ એસોસિએશનની કી નવીકૃત થાય છે, ત્યારે સાથીઓ તેમના પ્રસ્તાવોમાં નામ આપેલા જૂથ સાથે તાજી કી-અદલાબદલી કરી શકે છે, અને તે પ્રથમ ક્ષણ છે જ્યારે જૂથની સેટિંગ્સ સરખાવાય છે. તેથી અસહમત બે સાથીઓ પ્રમાણીકરણ કરી, ચાઇલ્ડ એસોસિએશન સ્થાપિત કરી અને ટ્રાફિક પસાર કરી શકે છે, અને પછી નવીકરણમાં નિષ્ફળ જાય છે.

પ્રસ્તાવ શબ્દમાળામાં અસંગતિ ક્યાં છુપાય છે

strongSwan માં જૂથ ચાઇલ્ડ પ્રસ્તાવમાં ઉમેરાય છે, તેથી aes256gcm16-prfsha256-ecp256 જેવી શબ્દમાળા એન્ક્રિપ્શન પસંદગી જેવી લાગે છે પણ કી-અદલાબદલીની આવશ્યકતા પણ ધરાવે છે. જે સાથી ફક્ત aes256gcm16-prfsha256 ઓફર કરે છે તેની પાસે એવી આવશ્યકતા નથી, અને બંને યાદીઓ એન્ક્રિપ્શનમાં મળે છે પણ અદલાબદલીમાં અલગ પડે છે.

ચાઇલ્ડ પ્રસ્તાવ અને IKE પ્રસ્તાવને અલગ યાદીઓ તરીકે વાંચો. IKE યાદીમાં દેખાતું જૂથ ચાઇલ્ડ યાદી વિશે કંઈ કહેતું નથી, અને એક વાંચતી વખતે બીજી સંપાદિત કરવી એ આ ચૂકી જવાનો સામાન્ય રસ્તો છે.

નિષ્ફળતા વાંચો, તમે સંપાદિત કરેલી ફાઇલ નહીં

જે notify એ અદલાબદલી સમાપ્ત કરી તે શોધો. જે ચાઇલ્ડ નવીકરણ કોઈ સ્વીકાર્ય પ્રસ્તાવ પાછો આપતું નથી તે પ્રસ્તાવ યાદીઓ તરફ ઇશારો કરે છે; જે નવીકરણ વિનંતીને ક્યારેય જવાબ મળતો નથી તે માર્ગ તરફ કે સાંભળવાનું બંધ કરેલા સાથી તરફ ઇશારો કરે છે. આ બંનેને અલગ સુધારા જોઈએ, અને લોગ લીટીનું શબ્દો ચણતર તેમને અલગ પાડે છે.

ડિસ્ક પરની નહીં, ચાલુ કન્ફિગરેશનની ખાતરી કરો. સાચવેલી પણ લોડ ન થયેલી ફાઇલ, અથવા બીજા include માંથી ફરી વાંચેલું કનેક્શન, એવી અસંગતિ ઊભી કરશે જે દેખાતી ફાઇલને કેટલી પણ સંપાદિત કરવાથી સુધરશે નહીં.

ત્રણ ઘટનાઓ જેમને બધા કી નવીકરણ કહે છે

IKE એસોસિએશનની કી નવીકરણ, IKE પુનઃપ્રમાણીકરણ અને ચાઇલ્ડ એસોસિએશનની કી નવીકરણ એ અલગ પ્રસ્તાવ નિયમો સાથેની અલગ ક્રિયાઓ છે. તેમાંથી એકમાં નોંધાયેલી નિષ્ફળતા બીજા વિશે સીધું કંઈ કહેતી નથી, અને જે લોગ તેમને ભેગા કરે છે તે ત્રણ હોવા છતાં એક પુનરાવર્તી ખામી જેવો વંચાય છે.

સાથી કઈ ઘટનાનું નામ લે છે તે નોંધો, પછી ફક્ત તે ઘટના માટે પ્રસ્તાવો તપાસો. એક યાદી બદલો, ફરી લોડ કરો અને એ જ ઘટના ફરી ફરજ પાડો. જો લોગ પુનઃપ્રમાણીકરણનું નામ લે, તો IKE પ્રસ્તાવ વાંચવાનો છે. જો તે ચાઇલ્ડ કી નવીકરણનું નામ લે, તો ચાઇલ્ડ પ્રસ્તાવ મહત્ત્વનું જૂથ ધરાવે છે.

નવીકરણ બંધ કરવું સુધારો નથી

કી નવીકરણનો સમય શૂન્ય પર મૂકવાથી જે અદલાબદલી નિષ્ફળ જાય છે તે દબાઈ જાય છે, અને ટનલ પછી તૂટે ત્યાં સુધી કે સાથી ફરી શરૂ થાય ત્યાં સુધી ટકે છે. તમે ખરીદ્યું છે લાંબા આયુષ્યની કી અને એવી અસંગતિ જે સ્થળાંતર, ઓડિટ કે વેન્ડર અપડેટ દરમિયાન ફરી તમને મળશે. એ જ વાત બીજી બાજુ જે નીતિ ધારે છે તેનાથી ઘણી આગળ લંબાવેલા આયુષ્યોને પણ લાગુ પડે છે.

તેના બદલે પ્રસ્તાવો સુસંગત કરો. બંને સાથીઓ અમલમાં મૂકે એવું જૂથ પસંદ કરો, તેને બંને છેડે ચાઇલ્ડ પ્રસ્તાવમાં મૂકો, અને નવીકરણ નીતિને સંસ્થાને ખરેખર જોઈએ તે શ્રેણીમાં રાખો.

જે અદલાબદલી નિષ્ફળ ગઈ તેનાથી સાબિત કરો

જાળવણી વિન્ડોમાં ચાઇલ્ડ કી નવીકરણનો સમય ટૂંકાવો જેથી ઘટના કલાકોને બદલે મિનિટોમાં આવે, અથવા જાતે ચાઇલ્ડ કી નવીકરણ ચલાવો. પછી સફળ નવીકરણ પર નજર રાખો અને ખાતરી કરો કે ટ્રાફિક તેમાંથી ચાલુ રહે છે, કારણ કે ચાઇલ્ડ એસોસિએશન સ્થાપિત કરતું પણ એપ્લિકેશન પ્રવાહ છોડી દેતું નવું હેન્ડશેક બીજી ખામી છે.

પછી સામાન્ય આયુષ્ય પુનઃસ્થાપિત કરો અને બંને ઘટના રેકોર્ડ રાખો, નિષ્ફળ અને સફળ. તમે ઇચ્છો છો તે પુરાવો એ છે કે જોડાણ પોતાનું જીવનચક્ર ટકી રહે છે, એ નહીં કે તે ping ટકી ગયું.