IKEv2: кілттерді жаңарту және қайта аутентификация — байланыс неге кейін үзіледі

Туннель таңертең көтеріледі және сағаттап жұмыс істейді. Сосын үзіледі, бір әрекеттен кейін қайта қосылады және келесі күні солай қайталайды. Желіде ештеңе өзгерген жоқ, ешкім құпиясөзге қол тигізген жоқ. Жаңарту шекарасында сәтсіздікке ұшырайтын сессиялар әдетте екі түрлі операцияның бірінен өтеді, және олардың тек біреуі ғана сіздің тіркелгі деректеріңізді қайта тексереді. Қайсысы іске қосылғанын оқу — бүкіл диагностика.

Сырттан ұқсас көрінетін екі операция

Кілттерді жаңарту хаттама белгілеген айырбас шеңберінде қауіпсіздік ассоциацияларын немесе кілт материалын ауыстырады. Аутентификация қайталанбайды, сондықтан сессия басында қабылданған сәйкестік жай ғана алға тасымалданады.

Қайта аутентификация алысқа барады: ол жаңа аутентификацияланған қатынас орнатады, яғни тіркелгі деректері қайта бағаланады. Мерзімі біткен, кері қайтарылған немесе каталогта өзгерген барлық нәрсе сол сәтте көрінеді.

Кілттерді жаңарту шын мәнінде нені ауыстырады

IKEv2 бөлек өмірлік циклдері бар екі түрлі ассоциацияны ұстайды. IKE SA басқару арнасын қорғайды, ал CHILD SA нақты трафикті қорғайды. Біреуін жаңарту клиентті қайта қосумен бірдей емес.

Бұл бөліну таныс үлгіні түсіндіреді: трафик жақсы ағады, содан кейін CHILD SA жаңартылады және ұсыныс енді сәйкес келмейді, өйткені біреу апталар бұрын бір жақта 2-фазаны өңдеп қойған. Өзгеріс жаңарту оны іске қосқанша зиянсыз жатты.

Өмір сүру ұзақтығының сәйкессіздіктері де солай әрекет етеді. Қай тарап өз шегіне бірінші жетсе, айырбасты сол бастайды, ал екіншісі оны қабылдауға тиіс.

Қайта аутентификация нені қайта бағалайды

Қайта аутентификация кезінде кіру кезінде жарамды болған клиент сертификаты енді мерзімі біткен болуы мүмкін. Кері қайтарылған тіркелгі деректері, айналдырылған құпиясөз немесе қолжетімсіз екінші фактор — бәрі осында шығады, жаңарту сәтінде емес.

Сондықтан әрбір өмір сүру ұзақтығын ұзарту түзету сияқты көрінеді, бірақ ол емес. Сіз тексеруді өтудің орнына кейінге қалдырдыңыз. Келесі жаңарту сол ақаумен және оны байқауға арналған қысқарақ үзіліс терезесімен келеді.

Кейбір іске асырулар қайта аутентификация кезінде ескі мен жаңа күйді қабаттайды. Басқалары қысқа саңылау жасайды. Сондықтан екі жеткізушідегі бірдей параметрлер әртүрлі пайдаланушы тәжірибесін бере алады. Стандарт осылай деп талап етеді деп есептеудің орнына мінез-құлықты сынап көріңіз.

Бірдеңені өзгертуден бұрын уақыт белгілерін оқыңыз

Сәтсіздік сәтін ассоциация күйімен бірге дейін және кейін жазып алыңыз. Егер ескі ассоциация аутентификация айырбасынсыз ауыстырылса, сіз жаңарту шекарасында болдыңыз. Егер сәтсіздіктен дәл бұрын AUTH айырбасы пайда болса, сіз қайта аутентификацияда болдыңыз.

strongSwan мұны бөлек параметрлер ретінде ұсынады: rekey кілттерді жаңартуды басқарады, reauth жаңа аутентификацияның болу-болмауын басқарады, ал margin мәндері әрқайсысының мерзімі бітуден қаншалықты бұрын басталатынын анықтайды. кілттерді жаңарту құжаттамасы өзара әрекетті сипаттайды және форум жазбасынан өмір сүру ұзақтығын көшіруден бұрын оны оқыған жөн.

Мұның бәрін қарапайым желілік жоғалтудан ажыратыңыз. Үзілген байланыс өлі серіктесті анықтау оқиғасын немесе қайта жіберу дауылын тудырады, сәйкес ұсыныстары бар таза айырбас емес.

Сәтсіз болған нәрсені өзгертіңіз

Тіркелгі деректерін қабылдамау сәйкестік мәселесін түзетуді талап етеді: сертификатты жаңартыңыз, тіркелгіні қалпына келтіріңіз, факторды қайта тіркеңіз. Ұсыныс немесе өмір сүру ұзақтығының сәйкессіздігі екі жақтағы параметрлерді салыстыруды талап етеді.

Симптомнан құтылу үшін өмір сүру ұзақтығын созу — әрқашан жұмыс істеген сияқты көрінетін және ешқашан жұмыс істемейтін жалғыз нұсқа.

Бақыланатын жаңартуды сынап көріңіз

Бір күн күтудің орнына жаңартуды мәжбүрлеңіз. Содан кейін орналастыру қолдаса, қайта аутентификациямен қайталаңыз және екі шетін де бақылаңыз.

Сәтті бастапқы кіру осының ешқайсысын жаттықтырмайды. Одан кейінгі өмірлік цикл — бұл орналастырулар шынымен сынатын жер.