IKEv2 ичиндеги SA жашоо мөөнөттөрү: жумшак ачкыч жаңыртуу, катуу бүтүү, өзүнчө кайра аутентификация

Таймерлер туннелдин ачкычтары качан алмаштырыларын аныктайт, жана катышкан эки чек көбүнчө бир чек катары окулат. Бирок андай эмес. Жумшак жашоо мөөнөтү учурдагы коопсуздук бирикмеси дагы трафикти ташып турганда өнөктөштөн алмаштырма курууну суранат, ал эми катуу мөөнөт — алмаштырма иштесе да, иштебесе да эски бирикме жоголуучу мөөнөт. Алардын ортосунда пакеттер боштукка түшпөшү үчүн кабатташуу терезеси бар.

Жашоо мөөнөтү чындыгында эмнени чектейт

IPsec коопсуздук бирикмеси — криптографиялык абалдын боосу: бир багыт үчүн ачкычтар, коопсуздук параметрлеринин индекси, алгоритмдер жыйындысы жана тандагыч. Жашоо мөөнөтү бул абалды канча убакыт колдонууга болорун чектейт, бул бир ачкычтын канча трафикти коргоорун чектейт. Бул ачкыч үчүн кармоо чарасы, колдонуучу сессиясы канча созулушу керектиги тууралуу билдирүү эмес.

IKE башкаруу бирикмелеринин өз ачкычтары жана өз жашоо мөөнөттөрү бар, алар маалымат ташыган бала бирикмелерден өзүнчө. Бул жерде адамдар эки графикти аралаштырат.

Жумшак алмаштырууну баштайт, катуу эски абалды бүтүрөт

Жумшак чек жакындаганда, өнөктөш алмаштырууну баштайт. Ишке ашыруулар адатта эрте иштеп, учурду рандомдоштурат, ошондуктан жүздөгөн туннели бар түйүн бардык ачкычтарды бир убакта жаңыртпайт. IKEv2де алмаштырма жаңы nonce ташыган CREATE_CHILD_SA алмашуусу, ал эми толук алдыга умтулган жашыруундуулук конфигурацияланган болсо, Diffie-Hellman алмашуусу кошулат. Натыйжа — жаңы ачкычтары бар жаңы бирикмелер жуп.

Кабатташуу маанилүү. Кыска убакыт өнөктөш эски жана жаңы бирикмелерди кармай алат, ал эми жазуу идентификаторлордун эки топтомун көрсөтүшү мүмкүн. Бул механизмдин иштеши, бузулуу эмес.

Катуу чек кечирбейт. Эгер алмаштырма ошого чейин бүтпөсө, эски бирикмени токтотуу керек жана аны менен гана корголгон трафик токтойт. Катуу бүтүүгө чейин созулган кайталанма ийгиликсиз ачкыч жаңыртуулар иликтөө үчүн операциялык белги, анткени туннель ар бир циклде мөөнөткө таянып турат.

Колдонуу чектери каалаган сааттан мурун иштеши мүмкүн

Убакыт жалгыз чек эмес. Ишке ашыруулар бир ачкыч коргогон байттарды же пакеттерди чектеши мүмкүн, ал эми жүктөлгөн туннель көп сааттык таймерден алда канча эрте колдонуу чегине жетет. strongSwan убакыт, байттар жана пакеттер үчүн өзүнчө жашоо мөөнөтү жана маржа жөндөөлөрүн сунуштайт, башкача айтканда натыйжалуу жаңыртуу чекити биринчи келген чек, конфигурацияланган маржаны кемиткенде.

Туннель конфигурацияланган сааттары билдиргенден алда канча тез-тез жаңырса, саатты күнөөлөөдөн мурун байт жана пакет чектерин текшериңиз. Бирдей убакыт жөндөөлөрү бар каныккан линия жана бош линия ачкыч жаңыртуу ылдамдыгы боюнча кескин айырмаланат, жана алардын бири гана таймерди ээрчийт.

Ар бир өнөктөш өз саясатын колдонот

IKEv2 эки өнөктөш те бирдей көрсөтүүгө тийиш болгон бир гана жашоо мөөнөтү тууралуу сүйлөшпөйт. Ар бир тарап өз жергиликтүү саясатын колдонот жана өз чеги жакындаганда алмаштырууну башташы мүмкүн, бул RFC 7296 документинин 2.8 бөлүмүндө сүрөттөлгөндөй. Ошондуктан эки өнөктөштүн конфигурацияланган сааттарынын ортосундагы айырма автоматтык түрдө кемчилик эмес, бирок бир тарап экинчиси жаңы эле орноткон абалды үзгүлтүксүз алмаштырып турса, абдан башка маанилер башаламандык жаратышы мүмкүн.

Шайкеш келтирүү деген шайкеш жүрүм-турум: алмашууга жетиштүү узун кабатташуу терезелери, кайталап аракет кылууга орун калтырган маржалар жана ар бир жаңыртууну кайсы тарап баштаганын көрсөткөн мониторинг.

Ачкыч жаңыртуу кайра аутентификация эмес

Ачкыч жаңыртуу учурдагы аутентификацияланган мамилелердин алкагында ачкычтарды жаңыртат. Кайра аутентификация инсандыкты текшерүүнү кайталайт, ал сертификат алмашуусу болобу, EAP сүйлөшүүсү болобу. Экөө өзүнчө графиктер менен иштейт жана ийгиликтүү жаңыртуу аккаунттун дагы эле кирүү укугу болушу керекпи дегенге эч нерсе айтпайт.

Бул айырма чегерүү үчүн маанилүү. Аккаунтту өчүрүү, сертификатты чегерүү же сессияны бүтүрүү — ишке ашырууда ачык саясатты талап кылган кирүү чечимдери; алар SA таймеринен келип чыкпайт, жана ачкыч жаңыртуу укуктары мурун эле алынган инсан үчүн да тынч улана берет.

Ар бир туннель үчүн эмнени жазуу керек

Жаңыртууну кайсы бирикме жаратканын, эски жана жаңы идентификаторлорду, кайсы чек иштегенин жана кабатташуунун ичинде алмаштырма бүткөнүн жазыңыз. Ошол төрт талаа ачкыч жаңыртуу маселесин бузулууга айланганга чейин көрүнүктүү кылат жана агрессивдүү саясатты ийгиликсиз саясаттан ажыратат.

Кирүүнү алып салуу графигин ошол жазуунун ичинде эмес, жанында кармаңыз. Криптографиялык гигиена жана инсандык саясат ар башка көзөмөлдөр, жана ачкычтарды убагында айландырган туннель дагы эле эч ким сакташты ойлобогон сессияны кармап турушу мүмкүн.