IKEv2: atslēgu atjaunošana pret atkārtotu autentifikāciju — kāpēc savienojums nokrīt vēlāk

Tunelis ceļas no rīta un strādā stundām. Tad tas nokrīt, pēc mēģinājuma atkal pieslēdzas un nākamajā dienā dara to pašu. Tīklā nekas nemainījās un neviens neaizskāra paroli. Sesijas, kas neizdodas atjaunošanas robežā, parasti šķērso vienu no divām dažādām operācijām, un tikai viena no tām atkārtoti pārbauda jūsu akreditācijas datus. Izlasīt, kura iedarbojās, ir visa diagnoze.

Divas operācijas, kas no ārpuses izskatās līdzīgas

Atslēgu atjaunošana aizstāj drošības asociācijas vai atslēgu materiālu protokola noteiktajā apmaiņā. Autentifikācija netiek atkārtota, tāpēc sesijas sākumā pieņemtā identitāte vienkārši tiek pārvietota uz priekšu.

Atkārtota autentifikācija iet tālāk: tā izveido svaigas autentificētas attiecības, kas nozīmē, ka akreditācijas dati tiek vērtēti no jauna. Viss, kas beidzās, tika atsaukts vai tika mainīts direktorijā, kļūst redzams tajā brīdī.

Ko atslēgu atjaunošana patiešām aizstāj

IKEv2 uztur divu veidu asociācijas ar atsevišķiem dzīves cikliem. IKE SA aizsargā vadības kanālu, un CHILD SA aizsargā faktisko trafiku. Vienas atjaunošana nav sinonīms klienta atkārtotai pievienošanai.

Šī atdalīšana izskaidro pazīstamu modeli: trafiks plūst labi, tad CHILD SA tiek atjaunināts un priekšlikums vairs neatbilst, jo kāds pirms nedēļām vienā pusē rediģēja 2. fāzi. Izmaiņa gulēja tur nekaitīgi, līdz atjaunošana to izmantoja.

Dzīves ilguma neatbilstības uzvedas tāpat. Kura puse pirmā sasniedz savu robežu, tā sāk apmaiņu, un otrai tā ir jāpieņem.

Ko atkārtota autentifikācija novērtē no jauna

Atkārtotas autentifikācijas laikā klienta sertifikāts, kas bija derīgs pieteikšanās brīdī, tagad var būt beidzies. Atsaukti akreditācijas dati, mainīta parole vai nepieejams otrais faktors visi parādās šeit, nevis atjaunošanas laikā.

Tāpēc katra dzīves ilguma pagarināšana šķiet labojums un nav. Jūs atlikāt pārbaudi, nevis to izgājāt. Nākamā atjaunošana nāk ar to pašu defektu un īsāku pārtraukuma logu tā pamanīšanai.

Dažas implementācijas atkārtotas autentifikācijas laikā pārklāj veco un jauno stāvokli. Citas rada īsu plaisu. Tāpēc identiski iestatījumi pie diviem piegādātājiem var dot atšķirīgu lietotāja pieredzi. Pārbaudiet uzvedību, nevis pieņemiet, ka standarts to nosaka.

Izlasiet laika zīmes pirms kaut ko mainīt

Fiksējiet atteices brīdi kopā ar asociācijas stāvokli pirms un pēc. Ja vecā asociācija tika aizstāta bez autentifikācijas apmaiņas, jūs bijāt atjaunošanas robežā. Ja tieši pirms atteices parādās AUTH apmaiņa, jūs bijāt atkārtotā autentifikācijā.

strongSwan to atklāj kā atsevišķus iestatījumus: rekey kontrolē atslēgu atjaunošanu, reauth kontrolē, vai notiek jauna autentifikācija, un margin vērtības nosaka, cik ilgi pirms beigām katra sākas. atslēgu atjaunošanas dokumentācija apraksta mijiedarbību, un to ir vērts izlasīt pirms dzīves ilguma kopēšanas no foruma ziņas.

Nošķiriet to visu no vienkārša tīkla zuduma. Pārtraukts savienojums rada miruša partnera noteikšanas notikumu vai atkārtotas sūtīšanas vētru, nevis tīru apmaiņu ar atbilstošiem priekšlikumiem.

Mainiet to, kas neizdevās

Akreditācijas datu noraidījums prasa izlabot identitātes problēmu: atjauniniet sertifikātu, atjaunojiet kontu, reģistrējiet faktoru no jauna. Priekšlikuma vai dzīves ilguma neatbilstība prasa salīdzināt parametrus abās pusēs.

Dzīves ilgumu stiepšana, lai izvairītos no simptoma, ir vienīgā iespēja, kas vienmēr izskatās, ka ir nostrādājusi, un nekad nenostrādā.

Izmēģiniet kontrolētu atjaunošanu

Piespiediet atjaunošanu, nevis gaidiet to dienu. Pēc tam atkārtojiet ar atkārtotu autentifikāciju, ja izvietojums to atbalsta, un vērojiet abus galus.

Veiksmīga pirmā pieteikšanās neko no tā nepraktizē. Dzīves cikls pēc tās ir vieta, kur šie izvietojumi patiešām lūzt.