Эмне үчүн сиздин IPsec туннелиңиз биринчи CHILD SA ачкычын жаңыртканыңарга чейин иштейт

Туннель көтөрүлдү, ping жооп берди жана баары кол койду. Төрт сааттан кийин сессия түшөт, тараптар сунуш же ачкыч алмашуу катасын жазышат, жана биринчи божомол тармакта бир нерсе өзгөрдү деп болжолдойт. Эч нерсе өзгөргөн жок. Трафикти ташыган туннель эки тараптын аутентификация жасоо жана биринчи бала ассоциациясын коргоо жолунда макул экенин далилдеди жана жаңыртууда талап кыла турган ачкыч алмашуу тууралуу эч нерсе далилдеген жок. Дал келбестик ошол эки окуянын ортосундагы боштукта жатат.

Туташкандык PFS жөндөөлөрү дал келет дегенди билдирбейт

IKEv2 менен биринчи бала ассоциациясы аутентификация алмашуусу учурунда түзүлөт, жана анын ачкычтары IKE ассоциациясы мурун эле өндүргөн материалдан алынат. Ошол бала үчүн өзүнчө Diffie-Hellman алмашуусу болбойт, ошондуктан жаңыртууда аны талап кылган саясат көтөрүү учурунда текшерилбейт.

Жаңыртуу — башка алмашуу. Бала ассоциациясынын ачкычы жаңыртылганда, тараптар сунуштарында аталган топ менен жаңы ачкыч алмашуусун жасоого болот, жана бул топ жөндөөлөрү биринчи жолу салыштырылган учур. Ошондуктан макулдашпаган эки тарап аутентификация жасап, бала ассоциациясын орнотуп, трафикти өткөрүп, андан кийин жаңыртууда ийгиликсиз болушу мүмкүн.

Дал келбестик сунуш сабында кайда жашырынат

strongSwan ичинде топ бала сунушуна кошулат, ошондуктан aes256gcm16-prfsha256-ecp256 сыяктуу сап шифрлоо тандоосуна окшош, бирок ачкыч алмашуу талабын да алып жүрөт. Бир гана aes256gcm16-prfsha256 сунуштаган тарапта андай талап жок, жана эки тизме шифрлоодо кесилишет, ал эми алмашууда айырмаланышат.

Бала сунушун жана IKE сунушун өзүнчө тизме катары окуңуз. IKE тизмесинде көрүнгөн топ бала тизмеси тууралуу эч нерсе айтпайт, жана бирин окуп жатып экинчисин оңдоо — муну байкабай калуунун кадимки жолу.

Ийгиликсиздикти окуңуз, оңдогон файлды эмес

Алмашууну аяктаган notify-ди табыңыз. «Кабыл алынуучу сунуш жок» деп кайтарган бала ачкыч жаңыртуу сунуш тизмелерине көрсөтөт; эч качан жооп албаган жаңыртуу суроосу жолго же угууну токтоткон тарапка көрсөтөт. Бул экөөнө ар башка оңдоо керек, жана журнал сабынын түзүлүшү аларды ажыратат.

Дисктеги эмес, иштеп жаткан конфигурацияны ырастаңыз. Сакталган, бирок жүктөлбөгөн файл же башка include'дан кайра окулган туташуу көрүнүп турган файлды канча оңдосоңуз да оңдолбой турган дал келбестик жаратат.

Баары ачкыч жаңыртуу деп аталган үч окуя

IKE ассоциациясынын ачкычын жаңыртуу, IKE кайра аутентификациясы жана бала ассоциациясынын ачкычын жаңыртуу — өзүнчө сунуш эрежелери бар өзүнчө операциялар. Алардын биринде билдирилген ийгиликсиздик калгандары тууралуу түз эч нерсе айтпайт, жана аларды аралаштырган журнал үчөө болсо да бир кайталануучу бузулуш катары окулат.

Тарап кайсы окуяны атаганына көңүл буруңуз, андан кийин сунуштарды ошол окуя үчүн гана текшериңиз. Бир тизмени өзгөртүп, кайра жүктөп, ошол эле окуяны кайра мажбурлаңыз. Эгер журнал кайра аутентификацияны атса, окулуучу нерсе — IKE сунушу. Эгер бала ачкыч жаңыртуусун атса, маанилүү топту бала сунушу алып жүрөт.

Жаңыртууну өчүрүү оңдоо эмес

Ачкыч жаңыртуу убактысын нөлгө коюу ийгиликсиз болгон алмашууну басат, жана туннель андан кийин бузулганга же тарап кайра башталганга чейин жашайт. Сиз сатып алганыңыз — узак өмүрдүү ачкыч жана көчүрүү, аудит же жеткирүүчү жаңыртуусу учурунда кайра жолуга турган дал келбестик. Ушундай эле каршы тарап күткөн саясаттан алда канча ашкан мөөнөттөргө да тиешелүү.

Анын ордуна сунуштарды шайкештештириңиз. Эки тарап тең ишке ашырган топту тандап, аны эки учурда тең бала сунушуна коюңуз жана жаңыртуу саясатын уюм чындап талап кылган диапазондо кармаңыз.

Аны ийгиликсиз болгон алмашуу менен далилдеңиз

Бала ачкыч жаңыртуу убактысын тейлөө терезесинде кыскартыңыз, окуя сааттар менен эмес, мүнөттөр менен келсин, же кол менен бала ачкыч жаңыртуусун иштетиңиз. Андан кийин ийгиликтүү жаңыртууну көзөмөлдөп, трафик анын ичинен уланганын ырастаңыз, анткени бала ассоциациясын орнотуп, бирок колдонмо агымын таштаган жаңы кол алышуу башка кемчилик.

Андан кийин кадимки мөөнөттү калыбына келтириңиз жана эки окуя жазуусун тең сактаңыз, ийгиликсиз жана ийгиликтүү. Сиз каалаган далил — байланыш өзүнүн жашоо циклинде туруктуу болушу, ping'ден өткөнү эмес.