IKEv2: обновување клучеви наспроти повторна автентикација — зошто врската паѓа подоцна

Тунелот се крева наутро и работи со часови. Потоа паѓа, се поврзува повторно по еден обид и го прави истото следниот ден. Ништо не се променило на мрежата и никој не допрел лозинка. Сесиите што паѓаат на граница на обновување обично преминуваат една од две различни операции, и само една од нив повторно ги проверува вашите акредитиви. Читањето која од нив се активирала е целата дијагноза.

Две операции што однадвор изгледаат слично

Обновувањето клучеви ги заменува безбедносните асоцијации или клучниот материјал во рамките на размената дефинирана од протоколот. Автентикацијата не се повторува, па идентитетот прифатен на почетокот на сесијата едноставно се пренесува напред.

Повторната автентикација оди подалеку: воспоставува свежа автентицирана врска, што значи дека акредитивите повторно се оценуваат. Сѐ што истекло, било отповикано или променето во директориумот станува видливо во тој момент.

Што всушност заменува обновувањето клучеви

IKEv2 држи два вида асоцијации со одделни животни циклуси. IKE SA го штити контролниот канал, а CHILD SA го штитат вистинскиот сообраќај. Обновувањето на едната не е синоним за повторно поврзување на клиентот.

Тоа раздвојување објаснува познат образец: сообраќајот тече добро, потоа една CHILD SA се обновува и предлогот повеќе не се совпаѓа зашто некој пред недели ја уредил фазата 2 на едната страна. Промената стоела таму безопасно додека обновувањето не ја активирало.

Несовпаѓањата во времетраењето се однесуваат исто. Која страна прва ќе ја достигне својата граница, таа ја започнува размената, а другата мора да ја прифати.

Што повторно оценува повторната автентикација

Со повторната автентикација, клиентскиот сертификат што бил валиден при најавата сега може да е истечен. Отповикани акредитиви, ротирана лозинка или недостапен втор фактор сите излегуваат тука, а не во моментот на обновување.

Затоа продолжувањето на секое времетраење изгледа како поправка, а не е. Ја одложивте проверката наместо да ја поминете. Следното обновување доаѓа со истиот дефект и пократок прозорец за прекин за да го забележите.

Некои имплементации ги преклопуваат стариот и новиот статус за време на повторната автентикација. Други создаваат кратка празнина. Затоа идентични поставки кај два добавувачи сѐ уште можат да дадат различни кориснички искуства. Тестирајте го однесувањето наместо да претпоставувате дека стандардот го пропишува.

Прочитајте ги временските ознаки пред да промените нешто

Запишете го моментот на дефектот заедно со состојбата на асоцијацијата пред и потоа. Ако старата асоцијација била заменета без размена на автентикација, бевте на граница на обновување. Ако непосредно пред дефектот се појави размена AUTH, бевте при повторна автентикација.

strongSwan го изложува ова како одделни поставки: rekey го контролира обновувањето на клучевите, reauth контролира дали се случува нова автентикација, а вредностите margin одлучуваат колку однапред пред истекот започнува секоја. документацијата за обновување клучеви ја опишува интеракцијата и вреди да се прочита пред да копирате времетраење од форумска објава.

Разликувајте го сето ова од обична загуба на мрежа. Прекината врска произведува настан за откривање мртов партнер или бура од повторни испраќања, а не чиста размена со соодветни предлози.

Променете го она што не успеа

Одбивањето акредитиви бара да се поправи проблемот со идентитетот: обновете го сертификатот, вратете ја сметката, повторно регистрирајте го факторот. Несовпаѓањето на предлог или времетраење бара споредување на параметрите од двете страни.

Истегнувањето на времетраењата за да се избегне симптомот е единствената опција што секогаш изгледа како да успеала и никогаш не успева.

Тестирајте контролирано обновување

Присилете го обновувањето наместо да чекате ден за него. Потоа повторете со повторна автентикација ако распоредувањето поддржува една, и набљудувајте ги двата краја.

Успешната прва најава не вежба ништо од ова. Животниот циклус по неа е местото каде овие распоредувања навистина се кршат.