Líftímar SA í IKEv2: mjúk lyklanýjun, hörð útrun, aðskilin endursannvottun

Tímamælar ákveða hvenær lyklum göngs eru skipt út, og oft er lesið úr báðum þröskuldunum sem einum. Þeir eru það ekki. Mjúkur líftími biður jafningjann um að byggja endurnýjun meðan núverandi öryggistengsl bera enn umferð, og harður líftími er fresturinn sem eftir er gamla tengslin farin, hvort sem endurnýjunin virkaði eða ekki. Milli þeirra liggur skörunargluggi sem er til svo pakkar falli ekki í eyðu.

Hvað líftími takmarkar í raun

IPsec öryggistengsl eru búnt dulritunarlegs ástands: lyklar fyrir eina átt, vísir öryggisfæribreyta, safn reiknirita og valari. Líftíminn takmarkar hversu lengi má nota það ástand, sem takmarkar hversu mikla umferð einn lykill verndar. Þetta er hömlunaraðgerð fyrir lykilinn, ekki yfirlýsing um hversu lengi notendalota ætti að vara.

IKE stjórntengsl hafa eigin lykla og eigin líftíma, aðskilin frá barnatengslunum sem bera gögn. Þetta er fyrsti staðurinn þar sem fólk ruglar tveimur áætlunum saman.

Mjúkt hefur endurnýjunina, hart endar gamla ástandið

Þegar mjúki þröskuldurinn nálgast hefur jafninginn endurnýjun. Útfærslur grípa venjulega snemma og slembivalda augnablikið svo höfuð með hundruð gönga endurnýi ekki alla lyklana í einu. Í IKEv2 er endurnýjunin CREATE_CHILD_SA skipti sem bera ný nonce, auk Diffie-Hellman skipta þegar fullkomin framvirkt leynd er stillt. Niðurstaðan er nýtt par tengsla með nýjum lyklum.

Skörunin skiptir máli. Stutta stund getur jafninginn haldið bæði gömlu og nýju tengslunum, og upptaka getur sýnt tvö sett auðkenna. Þetta er kerfið að virka, ekki bilun.

Harði þröskuldurinn fyrirgefur ekki. Ef endurnýjunin er ekki lokið þá verður að taka gömlu tengslin úr notkun og umferð sem aðeins þau vernduðu stöðvast. Endurteknar misheppnaðar lyklanýjun sem ganga alla leið að hörðum útrun eru aðgerðamerkið til að rannsaka, því gangan er haldið uppi af fresti í hverri lotu.

Notkunarmörk geta virkjast fyrir hvaða klukku sem er

Tími er ekki eina takmörkin. Útfærslur geta takmarkað bætin eða pakkana sem einn lykill verndar, og annasöm göng munu ná notkunarmörkum löngu fyrir margra klukkustunda tímamæli. strongSwan býður aðskildar stillingar fyrir líftíma og spássíu fyrir tíma, bæti og pakka, sem þýðir að virki endurnýjunarpunkturinn er sá þröskuldur sem kemur fyrstur, að frádreginni stilltri spássíu.

Þegar göng endurnýjast margfalt oftar en stilltar klukkustundir þess benda til, athugaðu bæta- og pakkamörk áður en þú kennir klukkunni um. Mettað tengi og aðgerðarlaust tengi með sömu tímastillingum munu hafa sýnilega ólíka lyklanýjunartíðni, og aðeins annað þeirra fylgir tímamælinum.

Hver jafningi framfylgir eigin stefnu

IKEv2 semur ekki um einn líftíma sem báðir jafningar verða að sýna eins. Hvor hlið beitir sinni staðbundnu stefnu og getur hafið endurnýjun þegar eigin mörk nálgast, eins og lýst er í RFC 7296 kafla 2.8. Því er misræmi milli stilltra klukkustunda tveggja jafningja ekki sjálfkrafa galli, þótt mjög ólík gildi geti valdið óróa ef önnur hliðin heldur áfram að skipta út ástandi sem hin setti upp rétt í þessu.

Samhæfing þýðir samhæfða hegðun: skörunarglugga nógu langa fyrir skiptin, spássíur sem skilja eftir pláss fyrir endurtekningar og vöktun sem sýnir hvor hliðin hóf hverja endurnýjun.

Lyklanýjun er ekki endursannvottun

Lyklanýjun endurnýjar lykla undir núverandi sannvottu sambandi. Endursannvottun endurtekur auðkennisprófun, hvort sem það er skipti á skírteini eða EAP samtal. Þau tvö ganga eftir aðskildum áætlunum og árangursrík endurnýjun segir ekkert um hvort reikningurinn ætti enn að hafa aðgang.

Þessi greinarmunur skiptir máli fyrir afturköllun. Að slökkva á reikningi, afturkalla skírteini eða ljúka lotu eru aðgangsákvarðanir sem þurfa skýra stefnu í útfærslunni; þær koma ekki af SA tímamælinum, og lyklanýjun getur haldið áfram án vandræða fyrir auðkenni sem þegar er svipt réttindum.

Hvað á að skrá fyrir hver göng

Skráðu hvaða tengsl hófu endurnýjunina, gömlu og nýju auðkennin, hvaða þröskuldur virkaði og hvort endurnýjunin kláraðist innan skörunarinnar. Þessi fjögur svið gera lyklanýjunarvandamál sýnilegt áður en það verður bilun, og þau greina árásargjarna stefnu frá stefnu sem bregst.

Hafðu áætlun um að fjarlægja aðgang við hlið þeirrar skráningar frekar en inni í henni. Dulritunarhreinlæti og auðkennisstefna eru mismunandi stýringar, og göng sem snúa lyklum á réttum tíma geta samt haldið lotu sem enginn ætlaði að halda.