Բանալու թարմացո՞ւմ, վերամիացո՞ւմ, թե՞ կրկնակի նույնականացում՝ ի՞նչ է ձեզ պետք

Ժամեր շարունակ աշխատող սեսիան հավերժ չի պահի նույն բանալիները, և դա միտումնավոր է։ Երեք տարբեր իրադարձություններ անվանում են բանալիների ռոտացիա՝ նոր սեսիոն նյութ գոյություն ունեցող ասոցիացիայի ներքո, կապի ամբողջական վերակառուցում և ինքնության ստուգման կրկնում։ Յուրաքանչյուրն ունի տարբեր գործարկիչ, տարբեր արժեք և տարբեր ձախողման ստորագրություն։ Սխալ ընտրեք, և ուղղումը կամ ոչինչ չի անի, կամ անհիմն կիջեցնի թունելը։

Որոշումը կախված է նրանից, թե որ շերտն է իրականում սպառվել։

Երեք գործողություն, որոնք անվանում են ռոտացիա

Բանալու թարմացումը ստեղծում է նոր երթևեկության բանալիներ գոյություն ունեցող կառավարման հարաբերության ներսում՝ օգտագործելով այն մեխանիզմը, որը սահմանում է արձանագրությունը։ IKEv2-ը դա անում է նոր ենթակա անվտանգության ասոցիացիայով, TLS 1.3-ը՝ բանալու թարմացման հաղորդագրությամբ, իսկ WireGuard-ը՝ նոր ձեռքսեղմումով, երբ լրանում են նրա ժամանակային կամ հաղորդագրությունների սահմանները։ Թունելի հասցեները և նույնականացված ինքնությունը մնում են իրենց տեղում։

Վերամիացումը դեն է նետում կապը և նորից կառուցում այն սկզբից, ինչը կրկնում է հասցեների նշանակումը, երթուղիների տեղադրումը և առաջին փորձի ցանկացած բանակցություն։

Կրկնակի նույնականացումը կրկնում է ինքնության ապացույցը, որը կարող է ներառել հավատարմագրեր, վկայական կամ երկրորդ գործոն։ Այն կարող է տեղի ունենալ վերամիացումով կամ առանց դրա՝ կախված արտադրանքից։

Ինչ են նկատում օգտատերերը թարմացման պահին

Բանալու թարմացումը պետք է լինի գրեթե անտեսանելի։ Ասոցիացիայի նույնացուցիչները փոխվում են, հաշվիչները կարող են զրոյանալ, իսկ հավելվածները պահում են իրենց սոկետները. փոխանակման ընթացքում մեկ ուղղությամբ կարճ դադարը նորմալ է։ Կարգավիճակի ցանկում նոր նույնացուցիչ տեսնելը խափանման ապացույց չէ։ Փոխանակումից հետո եկող մատյան տողն է, որ ասում է՝ ավարտվե՞լ է արդյոք։

Թարմացման պահին իրական ընդհատումը մատնանշում է կոնկրետ տեղ։ Առաջարկի անհամապատասխանությունը, ժամկետանց հավատարմագրերը կամ ուղու փոփոխությունը յուրաքանչյուրն առաջացնում է տարբեր մատյան տող, և դրանցից միայն մեկն է ուղղվում ժամկետների կարգավորմամբ։

Որտեղ են երեքը գործնականում տարբերվում

Եթե սպառվել է միայն բանալու նյութը, թարմացրեք բանալին։ Եթե զուգընկերոջ հասցեն, երթուղին կամ NAT-կապը փոխվել են, և փաթեթներն այլևս չեն հասնում, վերամիացեք։ Եթե կազմակերպությունը պահանջում է պարբերական ինքնության ստուգում, դա կրկնակի նույնականացում է, և ոչ մի ժամկետի կարգավորում այն չի փոխարինի։

Արձանագրությունների կանխադրվածները սովորաբար պարունակում են ճիշտ պատասխանը։ WireGuard-ը փոխում է բանալիները ժամանակի և տվյալների ծավալի շեմից հետո՝ առանց օգտատիրոջ գործողության. IKEv2-ի ժամկետները բանակցվում են յուրաքանչյուր ենթակա ասոցիացիայի համար. TLS-ի վրա հիմնված թունելները պտտում են բանալիները գոյություն ունեցող սեսիայի ներսում։ Ժամկետների բարձրացումը՝ կրկնվող սխալից խուսափելու համար, հետաձգում է ձախողումը և երկարացնում ազդեցությունը, եթե բանալին փոխզիջվի։

Մեկ նախազգուշացում կարևոր է երկար սեսիաների համար. հաճախականությունը ինքնին առաջընթաց գաղտնիություն չի ստեղծում։ Այս հատկությունը կախված է նրանից, թե ինչպես են սեսիոն բանալիները կապված երկարաժամկետ գաղտնիքների հետ և արդյոք հին բանալիները ոչնչացվում են, ինչը ձևավորման և ներդրման, այլ ոչ թե կարգավորման հարց է։

Ընտրեք կանխադրվածները, ապա գրանցեք փուլը

Պահեք մատակարարի կանխադրվածները, եթե փաստաթղթավորված պահանջն այլ բան չի ասում, և եթե ընդհանրապես փոխում եք ժամկետները, փոխեք երկու կողմերում էլ։ Ապա գրանցեք, թե յուրաքանչյուր իրադարձություն որ փուլին հասավ, որպեսզի հաջորդ դեպքը ստուգվի ձեռքսեղմման նույն կետի հետ։

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

Ուղղումից հետո կատարեք վերահսկվող թարմացում և նոր հավելվածային երթևեկություն ուղարկեք նոր ասոցիացիայով։ Թունելը, որը հայտնում է հաստատված լինելու մասին, բայց ոչինչ չի փոխանցում, այն ձախողումն է, որի համար գոյություն ունի այս ստուգումը։