IKEv2: გასაღებების განახლება ავთენტიფიკაციის ხელახლა შესრულების წინააღმდეგ — რატომ წყდება კავშირი მოგვიანებით

გვირაბი დილით ამოდის და საათობით მუშაობს. შემდეგ იშლება, ერთი ცდის შემდეგ ისევ უკავშირდება და მეორე დღეს იმავეს აკეთებს. ქსელში არაფერი შეცვლილა და პაროლს არავის შეხებია. სესიები, რომლებიც განახლების ზღვარზე ფარდება, ჩვეულებრივ გადაკვეთენ ორი სხვადასხვა ოპერაციიდან ერთს, და მათგან მხოლოდ ერთი ამოწმებს თქვენს სერტიფიკატებს ხელახლა. იმის წაკითხვა, რომელი ამოქმედდა, მთელი დიაგნოზია.

ორი ოპერაცია, რომლებიც გარედან ერთნაირად გამოიყურება

გასაღებების განახლება ცვლის უსაფრთხოების ასოციაციებს ან გასაღების მასალას პროტოკოლის მიერ განსაზღვრული გაცვლის ფარგლებში. ავთენტიფიკაცია არ მეორდება, ამიტომ სესიის დასაწყისში მიღებული იდენტობა უბრალოდ გადატანილია წინ.

ხელახალი ავთენტიფიკაცია უფრო შორს მიდის: ის ქმნის ახალ ავთენტიფიცირებულ ურთიერთობას, რაც ნიშნავს, რომ სერტიფიკატები ხელახლა ფასდება. ყველაფერი, რაც ვადაგასულია, გაუქმდა ან შეიცვალა კატალოგში, იმ მომენტში ხდება ხილული.

რას ცვლის სინამდვილეში გასაღებების განახლება

IKEv2 ინახავს ორი ტიპის ასოციაციას ცალკეული სიცოცხლის ციკლებით. IKE SA იცავს კონტროლის არხს, ხოლო CHILD SA იცავს რეალურ ტრაფიკს. ერთის განახლება კლიენტის ხელახლა დაკავშირების სინონიმი არ არის.

ეს განცალკევება ხსნის ნაცნობ ნიმუშს: ტრაფიკი კარგად მიედინება, შემდეგ CHILD SA ახლდება და წინადადება აღარ ემთხვევა, რადგან ვიღაცამ კვირების წინ ერთ მხარეს ფაზა 2 შეცვალა. ცვლილება იქ უვნებლად იწვა, სანამ განახლებამ ის არ იმუშავა.

სიცოცხლის ხანგრძლივობის შეუსაბამობები იგივენაირად იქცევიან. რომელი მხარე პირველი მიაღწევს თავის ზღვარს, ის იწყებს გაცვლას, და მეორემ უნდა მიიღოს ის.

რას აფასებს ხელახლა ხელახალი ავთენტიფიკაცია

ხელახალი ავთენტიფიკაციისას შესვლისას ძალაში მყოფი კლიენტის სერტიფიკატი შეიძლება უკვე ვადაგასული იყოს. გაუქმებული სერტიფიკატი, შეცვლილი პაროლი ან მიუწვდომელი მეორე ფაქტორი ყველა აქ ჩნდება, და არა განახლების დროს.

ამიტომ ყოველი სიცოცხლის ხანგრძლივობის გახანგრძლივება გამოსწორებად გვეჩვენება და ასე არ არის. თქვენ გადადეთ შემოწმება, ნაცვლად იმისა, რომ გაგევლო ის. შემდეგი განახლება მოდის იმავე ხარვეზით და უფრო მოკლე შეწყვეტის ფანჯრით, რომ შეამჩნიოთ.

ზოგიერთი იმპლემენტაცია ხელახალი ავთენტიფიკაციის დროს ძველ და ახალ მდგომარეობას აერთებს. სხვები ქმნიან მოკლე უფსკრულს. ამიტომ ორ ვენდორთან იდენტური პარამეტრები შეიძლება სხვადასხვა მომხმარებლის გამოცდილებას იძლეოდეს. გამოსცადეთ ქცევა, ნაცვლად იმისა, რომ ჩათვალოთ, სტანდარტი ამას ავალდებულებს.

რაიმეს შეცვლამდე წაიკითხეთ დროის ნიშნები

დააფიქსირეთ მარცხის მომენტი ასოციაციის მდგომარეობასთან ერთად, მანამდე და შემდეგ. თუ ძველი ასოციაცია შეიცვალა ავთენტიფიკაციის გაცვლის გარეშე, თქვენ იყავით განახლების ზღვარზე. თუ მარცხამდე უშუალოდ ჩნდება AUTH გაცვლა, თქვენ იყავით ხელახალ ავთენტიფიკაციაზე.

strongSwan ამას ცალკე პარამეტრებად აჩვენებს: rekey აკონტროლებს გასაღებების განახლებას, reauth აკონტროლებს, ხდება თუ არა ახალი ავთენტიფიკაცია, ხოლო margin მნიშვნელობები განსაზღვრავენ, რამდენად ადრე იწყება თითოეული ვადის ამოწურვამდე. გასაღებების განახლების დოკუმენტაცია აღწერს ურთიერთქმედებას, და ღირს მისი წაკითხვა, სანამ ფორუმის პოსტიდან სიცოცხლის ხანგრძლივობას დააკოპირებთ.

გამოყავით ეს ყველაფერი ჩვეულებრივი ქსელური დანაკარგისგან. გაწყვეტილი კავშირი წარმოქმნის მკვდარი პარტნიორის აღმოჩენის მოვლენას ან ხელახალი გაგზავნის ქარიშხალს, და არა სუფთა გაცვლას შესაბამისი წინადადებებით.

შეცვალეთ ის, რაც ჩავარდა

სერტიფიკატის უარყოფა მოითხოვს იდენტობის პრობლემის გამოსწორებას: განაახლეთ სერტიფიკატი, აღადგინეთ ანგარიში, ხელახლა დაარეგისტრირეთ ფაქტორი. წინადადების ან სიცოცხლის ხანგრძლივობის შეუსაბამობა მოითხოვს პარამეტრების შედარებას ორივე მხარეს.

სიმპტომის თავიდან ასაცილებლად სიცოცხლის ხანგრძლივობების გაწელვა ერთადერთი ვარიანტია, რომელიც ყოველთვის ისე გამოიყურება, თითქოს იმუშავა, და არასდროს მუშაობს.

გამოსცადეთ კონტროლირებადი განახლება

აიძულეთ განახლება, ნაცვლად იმისა, რომ დღე დაელოდოთ. შემდეგ გაიმეორეთ ხელახალი ავთენტიფიკაციით, თუ განლაგება მხარს უჭერს, და დააკვირდით ორივე ბოლოს.

წარმატებული პირველი შესვლა ამის არაფერს ვარჯიშობს. მის შემდეგ სიცოცხლის ციკლია ის ადგილი, სადაც ეს განლაგებები ნამდვილად ტყდება.