Lykilendurnýjun, endurtenging eða endurstaðfesting: hvers þarftu?

Lotur sem hefur verið uppi í klukkustundir heldur ekki sömu lyklum að eilífu, og það er viljandi. Þrír mismunandi atburðir eru kallaðir lyklarotering: nýtt lotuefni undir núverandi samtengingu, full endurbygging tengingarinnar og endurtekning á auðkenningarskoðun. Hver hefur mismunandi kveikju, mismunandi kostnað og mismunandi bilunareinkenni. Veldu rangt og viðgerðin gerir annaðhvort ekkert eða dregur göngin niður að ósekju.

Ákvörðunin fer eftir því hvaða lag er í raun útrunnið.

Þrjár aðgerðir sem kallast rotering

Lykilendurnýjun býr til nýja umferðarlykla innan núverandi stýrisambands, með þeirri aðferð sem samskiptareglan skilgreinir. IKEv2 gerir það með nýrri barnöryggissamtengingu, TLS 1.3 með lyklauppfærsluskilaboðum og WireGuard með nýrri handabandi þegar tíma- eða skilaboðamörkum þess er náð. Göngufangin og auðkennda auðkennið verða áfram þar sem þau voru.

Endurtenging hendir tengingunni og byggir hana upp frá byrjun, sem endurtekur úthlutun fanga, uppsetningu leiða og allar samningaviðræður fyrstu tilraunarinnar.

Endurstaðfesting endurtekur sjálfa auðkennissönnunina, sem getur falið í sér skilríki, vottorð eða annan þátt. Hún getur átt sér stað með eða án endurtengingar, eftir vöru.

Hvað notendur taka eftir við endurnýjun

Lykilendurnýjun ætti að vera nánast ósýnileg. Samtengingarauðkenni breytast, teljarar geta núllast og forrit halda sætum sínum; stutt hlé í aðra áttina er eðlilegt meðan á skiptunum stendur. Nýtt auðkenni í stöðulista er ekki sönnun um bilun. Línan í skránni sem fylgir skiptunum segir þér hvort henni lauk.

Raunverulegt rof við endurnýjun bendir á ákveðinn stað. Ósamræmi í tillögu, útrunnið skilríki eða breytt leið framleiða hvert sína línu í skránni, og aðeins ein þeirra er lagað með því að stilla líftíma.

Hvar þrjú þeirra greinast í reynd

Ef það eina sem er útrunnið er lykilefni, endurnýjaðu lykilinn. Ef jafningjafangið, leiðin eða NAT-tengingin breyttist og pakkar berast ekki lengur, tengdu aftur. Ef stofnunin krefst reglubundinnar auðkennisskoðunar er það endurstaðfesting og engin líftímastilling kemur í hennar stað.

Sjálfgefin gildi samskiptareglnanna geyma yfirleitt rétta svarið. WireGuard endurnýjar lykla eftir tíma- og gagnamagnsþröskuldi án aðgerðar notandans; líftímar IKEv2 eru samdir fyrir hverja barnsamtengingu; TLS-göng snúa lyklum innan núverandi lotu. Að hækka líftímana til að forðast endurtekið villu frestar biluninni og lengir útsetninguna ef lykill er í hættu.

Ein athugasemd skiptir máli fyrir langar lotur: tíðnin ein og sér skapar ekki framvirka leynd. Eiginleikinn fer eftir því hvernig lotulyklar tengjast langtímaleyndarmálum og hvort gömlum lyklum er eytt, sem er spurning um hönnun og útfærslu, ekki stillingu.

Veldu sjálfgefin gildi og skráðu síðan stigið

Haltu sjálfgefnum gildum framleiðandans nema skjalfest krafa segi annað, og breyttu líftímum á báðum jafningjum ef þú breytir þeim yfirleitt. Skráðu síðan hvaða stigi hver atburður náði, svo hægt sé að bera næsta tilvik við sama punkt í handabandinu.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

Eftir leiðréttingu skaltu gera stýrða endurnýjun og senda ferska forritsumferð um nýju samtenginguna. Göng sem tilkynna að þau séu uppi en senda ekkert áfram eru bilunin sem þessi skoðun er til að grípa.