IKEv2 में SA जीवनकाल: कोमल कुंजी नवीनीकरण, कठोर समाप्ति, पृथक पुनःप्रमाणीकरण
कोमल सीमा प्रतिस्थापन शुरू करती है, कठोर सीमा पुरानी स्थिति को सेवानिवृत्त करती है, और उपयोग सीमाएँ पहले सक्रिय हो सकती हैं। इनमें से कोई भी उपयोगकर्ता प्रमाणीकरण को दोहराता नहीं है।
टाइमर तय करते हैं कि सुरंग की कुंजियाँ कब बदली जाएँ, और इसमें शामिल दो थ्रेसहोल्ड अक्सर एक ही पढ़े जाते हैं। वे एक नहीं हैं। कोमल जीवनकाल साथी से प्रतिस्थापन बनाने को कहता है जबकि वर्तमान सुरक्षा संबद्धता अभी भी ट्रैफ़िक ढोती है, और कठोर जीवनकाल वह समयसीमा है जिसके बाद पुरानी संबद्धता चली जाती है, चाहे प्रतिस्थापन काम करे या न करे। इनके बीच एक अतिव्यापी विंडो है जो इसलिए मौजूद है ताकि पैकेट किसी अंतराल में न गिरें।
जीवनकाल वास्तव में किसे सीमित करता है
IPsec सुरक्षा संबद्धता क्रिप्टोग्राफ़िक स्थिति का एक बंडल है: एक दिशा के लिए कुंजियाँ, एक सुरक्षा पैरामीटर सूचकांक, एल्गोरिथ्म समुच्चय और एक चयनकर्ता। जीवनकाल सीमित करता है कि उस स्थिति का कितने समय उपयोग किया जा सकता है, जो सीमित करता है कि एक कुंजी कितना ट्रैफ़िक सुरक्षित रखती है। यह कुंजी के लिए एक नियंत्रण उपाय है, उपयोगकर्ता सत्र कितने समय तक चलना चाहिए इसका कथन नहीं।
IKE नियंत्रण संबद्धताओं की अपनी कुंजियाँ और अपने जीवनकाल होते हैं, जो डेटा ढोने वाली चाइल्ड संबद्धताओं से अलग हैं। यहीं लोग पहली बार दो समय-सारणियों को मिला देते हैं।
कोमल प्रतिस्थापन शुरू करता है, कठोर पुरानी स्थिति समाप्त करता है
जब कोमल थ्रेसहोल्ड निकट आता है, साथी प्रतिस्थापन आरंभ करता है। कार्यान्वयन सामान्यतः जल्दी सक्रिय होते हैं और क्षण को यादृच्छिक बनाते हैं ताकि सैकड़ों सुरंगों वाला हेडएंड सभी की कुंजियाँ एक साथ नवीनीकृत न करे। IKEv2 में प्रतिस्थापन ताज़ा nonce ले जाने वाला CREATE_CHILD_SA विनिमय है, साथ में Diffie-Hellman विनिमय जब पूर्ण फ़ॉरवर्ड गोपनीयता विन्यस्त हो। परिणाम नई कुंजियों वाला नया संबद्धता युग्म है।
अतिव्यापन मायने रखता है। थोड़े समय के लिए साथी पुरानी और नई संबद्धता दोनों रख सकता है, और एक कैप्चर पहचानकर्ताओं के दो समुच्चय दिखा सकता है। यह तंत्र के काम करने का लक्षण है, खराबी नहीं।
कठोर थ्रेसहोल्ड क्षमा नहीं करता। यदि तब तक प्रतिस्थापन पूरा नहीं हुआ, तो पुरानी संबद्धता को सेवानिवृत्त करना होगा और केवल उससे सुरक्षित ट्रैफ़िक रुक जाता है। बार-बार विफल कुंजी नवीनीकरण जो कठोर समाप्ति तक चलते हैं जाँच के लिए परिचालन संकेत हैं, क्योंकि सुरंग हर चक्र में एक समयसीमा के सहारे टिकी रहती है।
उपयोग सीमाएँ किसी भी घड़ी से पहले सक्रिय हो सकती हैं
समय एकमात्र सीमा नहीं है। कार्यान्वयन एक कुंजी से सुरक्षित बाइट या पैकेट की सीमा लगा सकते हैं, और व्यस्त सुरंग बहु-घंटे के टाइमर से बहुत पहले उपयोग सीमा तक पहुँच जाएगी। strongSwan समय, बाइट और पैकेट के लिए अलग जीवनकाल और मार्जिन सेटिंग्स देता है, अर्थात प्रभावी नवीनीकरण बिंदु वह थ्रेसहोल्ड है जो पहले आए, घटाकर विन्यस्त मार्जिन।
जब कोई सुरंग अपने विन्यस्त घंटों के संकेत से कहीं अधिक बार नवीनीकृत होती है, तो घड़ी को दोष देने से पहले बाइट और पैकेट सीमाएँ जाँचें। समान समय सेटिंग्स वाली संतृप्त लिंक और निष्क्रिय लिंक की कुंजी नवीनीकरण दर स्पष्ट रूप से भिन्न होगी, और इनमें से केवल एक टाइमर का पालन करती है।
प्रत्येक साथी अपनी नीति लागू करता है
IKEv2 ऐसा एकल जीवनकाल पर बातचीत नहीं करता जिसे दोनों साथियों को समान रूप से प्रदर्शित करना हो। प्रत्येक पक्ष अपनी स्थानीय नीति लागू करता है और अपनी सीमा निकट आने पर प्रतिस्थापन आरंभ कर सकता है, जैसा RFC 7296 अनुभाग 2.8 में वर्णित है। इसलिए दो साथियों के विन्यस्त घंटों में अंतर स्वतः दोष नहीं है, हालाँकि बहुत भिन्न मान उथल-पुथल पैदा कर सकते हैं यदि एक पक्ष लगातार वह स्थिति बदलता रहे जो दूसरे ने अभी स्थापित की है।
समन्वय का अर्थ अनुकूल व्यवहार है: विनिमय के लिए पर्याप्त लंबी अतिव्यापी विंडो, पुनःप्रयास के लिए जगह छोड़ने वाले मार्जिन, और निगरानी जो दिखाए कि प्रत्येक नवीनीकरण किस पक्ष ने शुरू किया।
कुंजी नवीनीकरण पुनःप्रमाणीकरण नहीं है
कुंजी नवीनीकरण मौजूदा प्रमाणित संबंध के अंतर्गत कुंजियाँ ताज़ा करता है। पुनःप्रमाणीकरण पहचान जाँच दोहराता है, चाहे वह प्रमाणपत्र विनिमय हो या EAP बातचीत। दोनों अलग समय-सारणियों पर चलते हैं और सफल नवीनीकरण इस बात पर कुछ नहीं कहता कि खाते की पहुँच अभी भी होनी चाहिए या नहीं।
यह अंतर निरसन के लिए मायने रखता है। खाता निष्क्रिय करना, प्रमाणपत्र निरस्त करना या सत्र समाप्त करना पहुँच निर्णय हैं जिनके लिए कार्यान्वयन में स्पष्ट नीति चाहिए; वे SA टाइमर से नहीं आते, और कुंजी नवीनीकरण ऐसी पहचान के लिए आराम से चल सकता है जिसके अधिकार पहले ही छीन लिए गए हैं।
प्रत्येक सुरंग के लिए क्या दर्ज करें
दर्ज करें कि किस संबद्धता ने नवीनीकरण आरंभ किया, पुराने और नए पहचानकर्ता, कौन-सा थ्रेसहोल्ड सक्रिय हुआ और क्या अतिव्यापन के भीतर प्रतिस्थापन पूरा हुआ। वे चार फ़ील्ड कुंजी नवीनीकरण की समस्या को बाधा बनने से पहले दृश्यमान बनाते हैं, और आक्रामक नीति को विफल होती नीति से अलग करते हैं।
पहुँच हटाने की समय-सारणी उस रिकॉर्ड के भीतर नहीं, बल्कि उसके पास रखें। क्रिप्टोग्राफ़िक स्वच्छता और पहचान नीति अलग नियंत्रण हैं, और समय पर कुंजियाँ घुमाने वाली सुरंग अभी भी ऐसा सत्र रख सकती है जिसे कोई बनाए रखना नहीं चाहता था।