IKEv2: חידוש מפתחות לעומת אימות מחדש — מדוע החיבור נופל מאוחר יותר

המנהרה עולה בבוקר ועובדת שעות. ואז היא נופלת, מתחברת מחדש אחרי ניסיון אחד ועושה את אותו הדבר למחרת. שום דבר לא השתנה ברשת ואף אחד לא נגע בסיסמה. מפגשים שנכשלים בגבול חידוש חוצים בדרך כלל אחת משתי פעולות שונות, ורק אחת מהן בודקת שוב את האישורים שלכם. הקריאה של איזו מהן הופעלה היא כל האבחון.

שתי פעולות שנראות דומות מבחוץ

חידוש מפתחות מחליף אגודות אבטחה או חומר מפתחות במסגרת ההחלפה שהפרוטוקול מגדיר. האימות אינו חוזר, ולכן הזהות שהתקבלה בתחילת המפגש פשוט מועברת הלאה.

אימות מחדש הולך רחוק יותר: הוא יוצר מערכת יחסים מאומתת חדשה, כלומר האישורים מוערכים מחדש. כל מה שפג, בוטל או שונה בספרייה הופך גלוי באותו רגע.

מה חידוש מפתחות באמת מחליף

IKEv2 מחזיק שני סוגי אגודות עם מחזורי חיים נפרדים. IKE SA מגן על ערוץ הבקרה, ו-CHILD SA מגנות על התעבורה בפועל. חידוש של אחת אינו שם נרדף לחיבור מחדש של הלקוח.

ההפרדה הזו מסבירה דפוס מוכר: התעבורה זורמת היטב, ואז CHILD SA מתחדשת וההצעה כבר לא מתאימה כי מישהו ערך את שלב 2 בצד אחד לפני שבועות. השינוי שכב שם בלי מזיק עד שהחידוש הפעיל אותו.

אי-התאמות בתוחלת החיים מתנהגות באותו אופן. הצד שמגיע ראשון לגבול שלו מתחיל את ההחלפה, והשני חייב לקבל אותה.

מה אימות מחדש מעריך מחדש

באימות מחדש, תעודת הלקוח שהייתה תקפה בכניסה עשויה להיות פגה כעת. אישור שבוטל, סיסמה שהוחלפה או גורם שני שאינו זמין כולם צפים כאן, ולא בזמן החידוש.

לכן הארכה של כל תוחלת חיים מרגישה כמו תיקון ואינה כזו. דחיתם את הבדיקה במקום לעבור אותה. החידוש הבא מגיע עם אותו פגם ועם חלון השבתה קצר יותר כדי להבחין בו.

יש מימושים שחופפים בין מצב ישן לחדש במהלך אימות מחדש. אחרים יוצרים פער קצר. לכן הגדרות זהות אצל שני ספקים יכולות לתת חוויות משתמש שונות. בדקו את ההתנהגות במקום להניח שהתקן מחייב אותה.

קראו את חותמות הזמן לפני שמשנים משהו

תעדו את רגע הכשל יחד עם מצב האגודה לפני ואחרי. אם האגודה הישנה הוחלפה בלי החלפת אימות, הייתם בגבול חידוש. אם החלפת AUTH מופיעה ממש לפני הכשל, הייתם באימות מחדש.

strongSwan חושף זאת כהגדרות נפרדות: rekey שולט בחידוש המפתחות, reauth שולט אם מתרחש אימות חדש, וערכי margin קובעים כמה זמן לפני הפקיעה כל אחד מתחיל. התיעוד של חידוש המפתחות מתאר את האינטראקציה, וכדאי לקרוא אותו לפני שמעתיקים תוחלת חיים מהודעה בפורום.

הבדילו את כל זה מאובדן רשת רגיל. קישור שנקטע מייצר אירוע זיהוי עמית מת או סערת שליחות חוזרות, לא החלפה נקייה עם הצעות תואמות.

שנו את הדבר שנכשל

דחיית אישורים דורשת תיקון של בעיית הזהות: חדשו את התעודה, שחזרו את החשבון, רשמו מחדש את הגורם. אי-התאמה של הצעה או תוחלת חיים דורשת השוואה של הפרמטרים בשני הצדדים.

מתיחת תוחלות חיים כדי להימנע מהתסמין היא האפשרות היחידה שתמיד נראית כאילו עבדה ואף פעם לא עובדת.

בדקו חידוש מבוקר

כפו את החידוש במקום להמתין לו יום. אחר כך חזרו על זה עם אימות מחדש אם הפריסה תומכת באחד, וצפו בשני הקצוות.

כניסה ראשונית מוצלחת לא מתרגלת שום דבר מזה. מחזור החיים שאחריה הוא המקום שבו הפריסות האלה נשברות באמת.