IKEv2: Schlëssel-Erneierung géint Reauthentifizéierung — firwat d’Verbindung méi spéit erofgeet

Den Tunnel kënnt moies erop a funktionéiert Stonnen. Duerno fällt en erof, verbënnt sech no engem Versuch erëm a mécht den nächsten Dag datselwecht. Am Netz huet sech näischt geännert an et huet keen e Passwuert ugegraff. Sitzunge, déi op enger Erneierungsgrenz fale schéissen, iwwerschreiden normalerweis eng vun zwou verschiddenen Operatiounen, an nëmmen eng vun hinnen iwwerpréift Är Identitéitsdaten nach eng Kéier. Ze liesen, wéi eng ausgeléist gouf, ass déi ganz Diagnos.

Zwee Operatiounen, déi vun dobausse gläich ausgesinn

D’Schlëssel-Erneierung ersetzt Sécherheetsassociatiounen oder Schlësselmaterial am Kader vum Protokoll definéierten Austausch. D’Authentifizéierung gëtt net widderholl, dofir gëtt d’Identitéit, déi am Ufank vun der Sitzung akzeptéiert gouf, einfach virugedroen.

D’Reauthentifizéierung geet méi wäit: si baut eng frësch authentifizéiert Bezéiung op, wat bedeit, datt d’Identitéitsdaten nach eng Kéier bewäert ginn. Alles, wat ofgelaf ass, zréckgezunn oder am Verzeechnes geännert gouf, gëtt an deem Moment sichtbar.

Wat eng Schlëssel-Erneierung tatsächlech ersetzt

IKEv2 hält zwou Aarte vun Associatioun mat getrennten Liewenszyklusen. D’IKE SA schützt de Kontrollkanal an d’CHILD SA schützen de richtegen Trafik. Eng ze erneieren ass kee Synonym dofir, de Client nei ze verbannen.

Dës Trennung erkläert e bekannte Muster: den Trafik leeft gutt, duerno gëtt eng CHILD SA erneiert an de Virschlag passt net méi, well een e puer Woche virdrun d’Phase 2 op enger Säit editéiert huet. D’Ännerung louch do harmlos, bis d’Erneierung se ausgefouert huet.

Ongläich Liewensdaueren behuelen sech gläich. Wéi eng Säit als éischt hir Grenz erreecht, fänkt den Austausch un, an déi aner muss en akzeptéieren.

Wat d’Reauthentifizéierung nei bewäert

Bei der Reauthentifizéierung kann d’Client-Zertifikat, dat beim Login gëlteg war, elo ofgelaf sinn. En zréckgezunn Identitéitsdatum, e gewiesselt Passwuert oder en net verfügbaren zweete Faktor kommen all hei op, net beim Erneierungszäitpunkt.

Dofir fillt sech d’Verlängere vun all Liewensdauer wéi eng Reparatur un an ass et net. Dir hutt d’Kontroll opgeschoben, amplaz se ze bestoen. Déi nächst Erneierung kënnt mat demselwechte Feeler a mat engem méi kuerzen Ënnerbriechungsfënster, fir en ze bemierken.

Verschidden Implementéierungen iwwerlappen alen an neien Zoustand während der Reauthentifizéierung. Anerer produzéieren eng kuerz Lück. Dofir kënnen identesch Astellungen bei zwee Fournisseuren ënnerschiddlech Benotzererfahrungen erginn. Test d’Verhalen, amplaz unzehuelen, de Standard schreift et vir.

Liest d’Zäitstempelen, ier Dir eppes ännert

Halt de Moment vum Feeler mam Zoustand vun der Associatioun virdrun a duerno fest. Wann déi al Associatioun ouni en Authentifizéierungsaustausch ersat gouf, waart Dir op enger Erneierungsgrenz. Wann direkt virum Feeler en AUTH-Austausch erschéngt, waart Dir bei enger Reauthentifizéierung.

strongSwan exposéiert dat als getrennt Astellungen: rekey steiert d’Schlëssel-Erneierung, reauth steiert, ob eng nei Authentifizéierung geschitt, an d’Margin-Wäerter entscheeden, wéi wäit virum Ofleef jiddwereen ufänkt. d’Dokumentatioun iwwer d’Schlëssel-Erneierung beschreift d’Interaktioun, an et ass derwäert, se ze liesen, ier Dir eng Liewensdauer aus engem Forumsbeitrag kopéiert.

Ënnerscheet dat alles vun engem normale Netzverloscht. Eng ofgeschniddene Verbindung produzéiert en Evenement vun der Erfaassung vun engem doudege Partner oder eng Stuerm vu Neisendungen, net en proppere Austausch mat passenden Virschléi.

Ännert dat, wat gescheitert ass

Eng Oflehnung vun den Identitéitsdaten verlaangt, datt den Identitéitsproblem behuewe gëtt: erneiert d’Zertifikat, restauréiert de Kont, registréiert de Faktor nei. En Ongläichgewiicht vum Virschlag oder der Liewensdauer verlaangt, datt d’Parameteren op béide Säiten verglach ginn.

Liewensdaueren ze strecken, fir d’Symptom ze vermeiden, ass déi eenzeg Optioun, déi ëmmer ausgesäit wéi wann et funktionéiert hätt a ni funktionéiert.

Test eng kontrolléiert Erneierung

Erzwéngt d’Erneierung, amplaz en Dag drop ze waarden. Widderhëlt s duerno mat enger Reauthentifizéierung, wann d’Deployement eng ënnerstëtzt, a beobacht béid Enner.

En erfollegräiche éischte Login üübt näischt dovun. De Liewenszyklus duerno ass de Punkt, wou dës Deployementer tatsächlech briechen.