Firwat Ären IPsec-Tunnel bis zur éischter CHILD SA-Schlësselerneierung funktionéiert

Den Tunnel ass eropkomm, de ping huet geäntwert an alleguer hunn ënnerschriwwen. Véier Stonne méi spéit fällt d’Sessioun, d’Peeren loggen e Feeler am Virschlag oder am Schlësselaustausch, an déi éischt Vermutung ass, datt sech eppes um Netz geännert huet. Et huet sech näischt geännert. En Tunnel, deen Traffic dréit, huet bewisen, datt déi zwou Säiten drun eens sinn, wéi authentifizéiert gëtt a wéi déi éischt Kannerassociatioun geschützt gëtt, an hien huet näischt bewisen iwwer de Schlësselaustausch, dee se bei der Erneierung fuerderen. D’Ofwäichung läit an der Kluft tëscht dësen zwou Evenementer.

Verbannen heescht net, datt d’PFS-Astellungen iwwerenee stëmmen

Bei IKEv2 gëtt déi éischt Kannerassociatioun während dem Authentifizéierungsaustausch ugeluecht, an hir Schlësselen entstinn aus Material, dat d’IKE-Associatioun schonn hiergestallt huet. Fir dat Kand geschitt keen eegene Diffie-Hellman-Austausch, dofir gëtt eng Politique, déi esou ee bei der Erneierung verlaangt, beim Opbau net getest.

D’Erneierung ass en aneren Austausch. Wann de Schlëssel vun enger Kannerassociatioun erneiert gëtt, kënnen d’Säiten en neien Schlësselaustausch mat der Grupp maachen, déi an hire Virschléi genannt gëtt, an dat ass den éischte Moment, wou d’Gruppaastellungen verglach ginn. Sou kënnen zwou Säiten, déi sech net eens sinn, authentifizéieren, eng Kannerassociatioun installéieren a Traffic duerchloossen, an duerno bei der Erneierung versoen.

Wou d’Ofwäichung sech am Virschlag-String verstoppt

Am strongSwan gëtt d’Grupp un de Kanner-Virschlag ugehaangen, dofir gesäit e String wéi aes256gcm16-prfsha256-ecp256 wéi eng Verschësserungswiel aus, dréit awer och eng Fuerderung fir de Schlësselaustausch. Eng Säit, déi nëmmen aes256gcm16-prfsha256 ubitt, huet sou eng Fuerderung net, an déi zwou Lëschten iwwerschneiden sech bei der Verschësserung, awer si ginn am Austausch auserneen.

Liest de Kanner-Virschlag an de IKE-Virschlag als getrennte Lëschten. Eng Grupp, déi an der IKE-Lëscht erschéngt, seet näischt iwwer d’Kanner-Lëscht, an déi eng z’änneren, während een déi aner liest, ass de übleche Wee, wéi dat verpasst gëtt.

Liest de Feeler, net d’Datei, déi Dir geännert hutt

Fannt den notify, deen den Austausch beendet huet. Eng Kanner-Schlësselerneierung, déi «kee akzeptable Virschlag» zréckgëtt, weist op d’Virschlagslëschten; eng Erneierungsufro, déi ni eng Äntwert kritt, weist op de Wee oder op eng Säit, déi opgehalen huet ze lauschteren. Déi zwou brauchen ënnerschiddlech Korrekturen, an d’Formuléierung vun der Logzeil trennt se.

Bestätegt d’lafend Konfiguratioun an net déi um Disk. Eng Datei, déi gespäichert awer net gelueden ass, oder eng Verbindung, déi aus engem aneren include nei gelies gouf, produzéiert eng Ofwäichung, déi keng Ännerung vun der sichtbarer Datei ka behiewen.

Dräi Evenementer, déi alleguer Schlësselerneierung genannt ginn

D’Schlësselerneierung vun der IKE-Associatioun, d’IKE-Reauthentifizéierung an d’Schlësselerneierung vun der Kannerassociatioun sinn getrennt Operatiounen mat getrennte Virschlagsregelen. E Feeler, deen bei enger vun hinnen gemellt gëtt, seet näischt direkt iwwer déi aner, an en Log, deen se vermëscht, liest sech wéi een eenzegen erëmkommende Defekt, wann et der dräi sinn.

Mierkt Iech, wéi en Evenement d’Säit nennt, a kontrolléiert duerno d’Virschléi nëmme fir dat Evenement. Ännert eng Lëscht, lued nei a forcéiert datselwecht Evenement nach eng Kéier. Wann den Log eng Reauthentifizéierung nennt, ass de IKE-Virschlag deen, dee gelies muss ginn. Wann en eng Kanner-Schlësselerneierung nennt, dréit de Kanner-Virschlag déi wichteg Grupp.

D’Erneierung ofschalten ass keng Léisung

D’Erneierungszäit op null setzen ënnerdréckt den Austausch, dee feelt, an den Tunnel iwwerlieft duerno, bis en ofgebaut gëtt oder d’Säit nei start. Wat Dir kaaft hutt, ass e méi laang liewende Schlëssel an eng Ofwäichung, déi Iech bei enger Migratioun, engem Audit oder engem Update vum Fournisseur erëm begéint. Datselwecht gëllt fir Liewensdaueren, déi wäit iwwer d’Politique gestreckt ginn, déi déi aner Säit erwaart.

Richtegt d’Virschléi aus. Wielt eng Grupp, déi béid Säiten ëmsetzen, setzt se op béiden Enner an de Kanner-Virschlag, a haalt d’Erneierungspolitique an der Spann, déi d’Organisatioun tatsächlech verlaangt.

Beweist et mam Austausch, dee feelt

Kierzt d’Kanner-Erneierungszäit an engem Ënnerhaltsfenster, sou datt den Evenement a Minutten amplaz a Stonnen kënnt, oder lued eng manuell Kanner-Schlësselerneierung aus. Kuckt duerno op eng erfolgreich Erneierung a bestätegt, datt den Traffic weider duerch geet, well en neien Handshake, deen eng Kannerassociatioun installéiert awer den Applikatiounsfloss fale léisst aneren Defekt ass.

Stellt duerno déi normal Liewensdauer erëm hier a behält béid Evenementsopzeechnungen, déi feelend an déi erfolgreich. De Beweis, deen Dir wëllt, ass datt d’Verbindung hiren eegene Liewenszyklus iwwersteet, net datt si e ping iwwerstanen huet.