Kodėl jūsų IPsec tunelis veikia iki pirmo CHILD SA rakto atnaujinimo

Tunelis pakilo, ping atsakė, ir visi pasirašė. Po keturių valandų sesija krinta, šalys registruoja pasiūlymo arba raktų mainų klaidą, ir pirmoji prielaida yra ta, kad tinkle kažkas pasikeitė. Niekas nepasikeitė. Tunelis, kuriuo eina srautas, įrodė, kad dvi šalys sutaria, kaip autentifikuoti ir kaip apsaugoti pirmąją antrinę asociaciją, ir neįrodė nieko apie raktų mainą, kurio reikalaus atnaujindamos. Neatitikimas glūdi tarpelyje tarp šių dviejų įvykių.

Prisijungta nereiškia, kad PFS nustatymai sutampa

Naudojant IKEv2, pirmoji antrinė asociacija sukuriama autentifikavimo mainų metu, o jos raktai išvedami iš medžiagos, kurią IKE asociacija jau pagamino. Tam antriniam dariniui atskiras Diffie-Hellman mainas nevyksta, todėl politika, reikalaujanti jo atnaujinimo metu, kėlimo metu netikrinama.

Atnaujinimas yra kitas mainas. Kai antrinės asociacijos raktas atnaujinamas, šalys gali atlikti naują raktų mainą su grupe, nurodyta jų pasiūlymuose, ir tai pirmas momentas, kai grupių nustatymai lyginami. Todėl dvi nesutariančios šalys gali autentifikuotis, įdiegti antrinę asociaciją ir praleisti srautą, o paskui nepavykti atnaujinant.

Kur pasiūlymo eilutėje slepiasi neatitikimas

strongSwan grupė pridedama prie antrinio pasiūlymo, todėl eilutė, pavyzdžiui, aes256gcm16-prfsha256-ecp256 atrodo kaip šifravimo pasirinkimas, bet taip pat neša raktų mainų reikalavimą. Šalis, siūlanti tik aes256gcm16-prfsha256 tokio reikalavimo neturi, ir du sąrašai susikerta šifravime, bet išsiskiria mainuose.

Skaitykite antrinį pasiūlymą ir IKE pasiūlymą kaip atskirus sąrašus. Grupė, esanti IKE sąraše, nieko nesako apie antrinį sąrašą, o vieno redagavimas skaitant kitą yra įprastas būdas to nepastebėti.

Skaitykite gedimą, o ne failą, kurį redagavote

Raskite notify, kuris užbaigė mainus. Antrinio rakto atnaujinimas, grąžinantis „nėra priimtino pasiūlymo“, rodo į pasiūlymų sąrašus; atnaujinimo užklausa, niekada negaunanti atsakymo, rodo į kelią arba į šalį, kuri nustojo klausytis. Šie du reikalauja skirtingų pataisymų, ir žurnalo eilutės formuluotė juos skiria.

Patvirtinkite veikiančią konfigūraciją, o ne tą, kuri diske. Išsaugotas, bet neįkeltas failas arba jungtis, perskaityta iš kito include, sukels neatitikimą, kurio ne vienas matomo failo redagavimas neištaisys.

Trys įvykiai, kurie visi vadinami rakto atnaujinimu

IKE asociacijos rakto atnaujinimas, IKE pakartotinė autentifikacija ir antrinės asociacijos rakto atnaujinimas yra atskiros operacijos su atskiromis pasiūlymų taisyklėmis. Gedimas, praneštas apie vieną iš jų, nieko tiesiogiai nesako apie kitus, o žurnalas, kuris juos sumaišo, skaitomas kaip vienas pasikartojantis defektas, nors jų yra trys.

Atkreipkite dėmesį, kurį įvykį įvardija šalis, tada tikrinkite pasiūlymus tik tam įvykiui. Pakeiskite vieną sąrašą, įkelkite iš naujo ir vėl priverstinai sukurkite tą patį įvykį. Jei žurnalas įvardija pakartotinę autentifikaciją, skaityti reikia IKE pasiūlymą. Jei jis įvardija antrinio rakto atnaujinimą, svarbią grupę neša antrinis pasiūlymas.

Atnaujinimo išjungimas nėra pataisymas

Nustačius rakto atnaujinimo laiką į nulį, nepavykstantys mainai nuslopinami, ir tunelis tada gyvuoja, kol bus išmontuotas arba šalis persikraus. Tai, ką nusipirkote, yra ilgesnio gyvenimo raktas ir neatitikimas, kuris vėl jus pasitiks migracijos, audito ar tiekėjo atnaujinimo metu. Tas pats galioja galiojimo laikams, ištemptiems toli už politikos, kurios tikisi kita pusė.

Vietoj to sulygiuokite pasiūlymus. Pasirinkite grupę, kurią įgyvendina abi šalys, įdėkite ją į antrinį pasiūlymą abiejuose galuose ir laikykite atnaujinimo politiką diapazone, kurio organizacija iš tikrųjų reikalauja.

Įrodykite tai mainais, kurie nepavyko

Techninės priežiūros lange sutrumpinkite antrinio rakto atnaujinimo laiką, kad įvykis ateitų per minutes, o ne per valandas, arba paleiskite rankinį antrinio rakto atnaujinimą. Tada stebėkite sėkmingą atnaujinimą ir patvirtinkite, kad srautas teka toliau, nes naujas rankos paspaudimas, kuris įdiegia antrinę asociaciją, bet numeta programos srautą yra kitas defektas.

Po to atkurkite įprastą galiojimo laiką ir išsaugokite abu įvykių įrašus, nepavykusį ir sėkmingą. Įrodymas, kurio norite, yra tai, kad ryšys išgyvena savo gyvavimo ciklą, o ne tai, kad išgyveno ping.