IKEv2: ачкычтарды жаңыртуу жана кайра аутентификация — байланыш эмне үчүн кийин үзүлөт

Туннель эртең менен көтөрүлүп, саат бою иштейт. Анан үзүлөт, бир аракеттен кийин кайра туташат жана эртеңки күнү да ушундай болот. Тармакта эч нерсе өзгөргөн жок, эч ким сырсөзгө тийген жок. Жаңыртуу чегинде ийгиликсиз болгон сессиялар адатта эки башка операциянын биринен өтөт, жана алардын бири гана сиздин күбөлүктөрүңүздү кайра текшерет. Кайсынысы иштегенин окуу — бүткүл диагноз.

Сырттан окшош көрүнгөн эки операция

Ачкычтарды жаңыртуу протокол белгилеген алмашуунун алкагында коопсуздук ассоциацияларын же ачкыч материалын алмаштырат. Аутентификация кайталанбайт, ошондуктан сессиянын башында кабыл алынган инсандык жөн гана алдыга өткөрүлөт.

Кайра аутентификация андан ары барат: ал жаңы аутентификацияланган мамилени түзөт, башкача айтканда күбөлүктөр кайра бааланат. Мөөнөтү бүткөн, жокко чыгарылган же каталогдо өзгөртүлгөн бардык нерсе ошол учурда көрүнөт.

Ачкычтарды жаңыртуу чындыгында эмнени алмаштырат

IKEv2 өзүнчө жашоо циклдери бар эки түрдүү ассоциацияны кармайт. IKE SA башкаруу каналын коргойт, ал эми CHILD SA чыныгы трафикти коргойт. Бирин жаңыртуу кардарды кайра туташтыруунун синоними эмес.

Бул бөлүнүү тааныш үлгүнү түшүндүрөт: трафик жакшы агат, анан CHILD SA жаңыртылат жана сунуш эми туура келбейт, анткени бирөө апта мурун бир тарапта 2-фазаны оңдоп койгон. Өзгөрүү жаңыртуу аны иштеткенге чейин зыянсыз жаткан.

Жашоо мөөнөтүнүн дал келбестиги да ушундай жүрөт. Кайсы тарап өз чегине биринчи жетсе, ал алмашууну баштайт, экинчиси аны кабыл алышы керек.

Кайра аутентификация эмнени кайра баалайт

Кайра аутентификация учурунда кирүүдө жарактуу болгон кардар сертификаты азыр мөөнөтү бүткөн болушу мүмкүн. Жокко чыгарылган күбөлүк, алмаштырылган сырсөз же жеткиликсиз экинчи фактор — баары ушул жерде чыгат, жаңыртуу убагында эмес.

Ошондуктан ар бир жашоо мөөнөтүн узартуу оңдоо сыяктуу сезилет, бирок андай эмес. Сиз текшерүүдөн өтүүнүн ордуна кийинкиге калтырдыңыз. Кийинки жаңыртуу ошол эле кемчилик менен жана аны байкоо үчүн кыскараак үзгүлтүк терезеси менен келет.

Кээ бир ишке ашыруулар кайра аутентификация учурунда эски жана жаңы абалды кабаттайт. Башкалары кыска боштук жаратат. Ошондуктан эки жеткирүүчүдө бирдей параметрлер ар кандай колдонуучу тажрыйбасын бере алат. Стандарт ушундай деп талап кылат деп ойлоонун ордуна жүрүм-турумду сынап көрүңүз.

Бир нерсени өзгөртүүдөн мурун убакыт белгилерин окуңуз

Ийгиликсиздик учурун ассоциациянын мурунку жана кийинки абалы менен жазып алыңыз. Эгер эски ассоциация аутентификация алмашуусуз алмаштырылса, сиз жаңыртуу чегинде болгонсуз. Эгер ийгиликсиздиктен так мурун AUTH алмашуусу пайда болсо, сиз кайра аутентификацияда болгонсуз.

strongSwan муну өзүнчө параметрлер катары көрсөтөт: rekey ачкычтарды жаңыртууну башкарат, reauth жаңы аутентификациянын болушун башкарат, ал эми margin маанилери ар бири мөөнөтү бүтүүдөн канча мурун башталарын аныктайт. ачкычтарды жаңыртуу документтери өз ара аракетти сүрөттөйт, жана форум билдирүүсүнөн жашоо мөөнөтүн көчүрүүдөн мурун аны окууга татыктуу.

Мунун баарын жөнөкөй тармак жоготуудан айырмалаңыз. Үзүлгөн байланыш өлүк өнөктөштү аныктоо окуясын же кайра жөнөтүү бороонун жаратат, туура келген сунуштар менен таза алмашууну эмес.

Ийгиликсиз болгон нерсени өзгөртүңүз

Күбөлүктү четке кагуу инсандык маселесин оңдоону талап кылат: сертификатты жаңыртыңыз, аккаунтту калыбына келтириңиз, факторду кайра каттаңыз. Сунуш же жашоо мөөнөтүнүн дал келбестиги эки тараптагы параметрлерди салыштырууну талап кылат.

Симптомдон качуу үчүн жашоо мөөнөттөрүн созуу — дайыма иштеген сыяктуу көрүнүп, эч качан иштебеген жалгыз вариант.

Көзөмөлдөнгөн жаңыртууну сынап көрүңүз

Бир күн күтүүнүн ордуна жаңыртууну мажбурлаңыз. Анан жайгаштыруу колдосо, кайра аутентификация менен кайталаңыз жана эки учун тең байкаңыз.

Ийгиликтүү баштапкы кирүү мунун эч бирин машыктырбайт. Андан кийинки жашоо цикли — ушул жайгаштыруулар чындыгында сына турган жер.