Кілтті жаңарту, қайта қосылу немесе қайта аутентификация: сізге қайсысы керек?

Сағаттар бойы жұмыс істеп тұрған сессия бірдей кілттерді мәңгі сақтамайды және бұл әдейі жасалған. Үш түрлі оқиғаны кілттерді айналдыру деп атайды: бар ассоциация аясындағы жаңа сессия материалы, қосылысты толық қайта құру және сәйкестікті тексеруді қайталау. Әрқайсысының триггері, құны және істен шығу белгісі бөлек. Қатесін таңдасаңыз, түзету не ештеңе істемейді, не туннельді себепсіз түсіреді.

Шешім қай қабаттың шын мәнінде мерзімі біткеніне байланысты.

Айналдыру деп аталатын үш операция

Кілтті жаңарту протокол айқындаған механизмді пайдаланып, бар басқару қатынасының ішінде жаңа трафик кілттерін жасайды. IKEv2 мұны жаңа еншілес қауіпсіздік ассоциациясымен, TLS 1.3 кілтті жаңарту хабарламасымен, ал WireGuard уақыт немесе хабарлама шектеріне жеткенде жаңа қол алысумен жасайды. Туннель мекенжайлары мен аутентификацияланған сәйкестік орнында қалады.

Қайта қосылу қосылысты тастап, оны басынан қайта салады, бұл мекенжайларды тағайындауды, маршруттарды орнатуды және бірінші әрекеттің барлық келіссөзін қайталайды.

Қайта аутентификация сәйкестік дәлелін қайталайды, оған тіркелгі деректері, сертификат немесе екінші фактор кіруі мүмкін. Өнімге байланысты ол қайта қосылумен немесе онсыз болуы мүмкін.

Пайдаланушылар жаңарту кезінде нені байқайды

Кілтті жаңарту байқалмайтындай болуы керек. Ассоциация идентификаторлары өзгереді, санауыштар нөлденуі мүмкін, ал қолданбалар өз сокеттерін сақтайды; алмасу кезінде бір бағытта қысқа үзіліс қалыпты. Күй тізімінде жаңа идентификаторды көру ақаулықтың дәлелі емес. Алмасудан кейінгі журнал жолы оның аяқталғанын айтады.

Жаңарту кезіндегі нақты үзіліс белгілі бір жерді нұсқайды. Ұсыныстың сәйкессіздігі, мерзімі өткен тіркелгі деректері немесе жолдың өзгеруі әрқайсысы басқа журнал жолын тудырады және олардың тек біреуі ғана мерзімдерді реттеумен түзетіледі.

Тәжірибеде үшеуі қай жерде ажырайды

Егер мерзімі біткен жалғыз нәрсе кілт материалы болса, кілтті жаңартыңыз. Егер теңдес мекенжайы, маршрут немесе NAT байланысы өзгеріп, пакеттер енді келмесе, қайта қосылыңыз. Егер ұйым мерзімді сәйкестік тексеруін талап етсе, бұл қайта аутентификация және ешбір мерзім реттеуі оны алмастырмайды.

Протоколдардың әдепкі мәндері әдетте дұрыс жауапты қамтиды. WireGuard пайдаланушының әрекетінсіз уақыт және деректер көлемі шегінен кейін кілттерді ауыстырады; IKEv2 мерзімдері әр еншілес ассоциация үшін келісіледі; TLS негізіндегі туннельдер кілттерді бар сессияның ішінде айналдырады. Қайталанатын қатені болдырмау үшін мерзімдерді ұлғайту істен шығуды кейінге қалдырады және кілт бұзылса, әсер ету уақытын ұзартады.

Ұзақ сессиялар үшін бір ескерту маңызды: тек жиілік алға қарай құпиялылықты тудырмайды. Бұл қасиет сессия кілттерінің ұзақ мерзімді құпиялармен қалай байланысатынына және ескі кілттердің жойылуына байланысты, бұл параметр емес, дизайн мен іске асыру мәселесі.

Әдепкі мәндерді таңдаңыз, содан кейін кезеңді жазыңыз

Құжатталған талап басқаша деп айтпаса, жеткізушінің әдепкі мәндерін сақтаңыз, ал мерзімдерді өзгертетін болсаңыз, екі жақта да өзгертіңіз. Содан кейін әр оқиға қай кезеңге жеткенін жазыңыз, сонда келесі жағдайды қол алысудың сол нүктесімен салыстыруға болады.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

Түзетуден кейін бақыланатын жаңарту жасап, жаңа ассоциация арқылы жаңа қолданба трафигін жіберіңіз. Өзін орнатылды деп хабарлайтын, бірақ ештеңе жібермейтін туннель — осы тексерудің ұстау үшін бар ақаулығы.