IKEv2-ൽ SA ജീവിതകാലം: മൃദു കീ പുനരുത്പാദനം, കഠിന കാലഹരണം, വേർതിരിച്ച പുനർപ്രമാണീകരണം

ടൈമറുകൾ ടണലിന്റെ കീകൾ എപ്പോൾ മാറ്റിസ്ഥാപിക്കണം എന്ന് തീരുമാനിക്കുന്നു, ഉൾപ്പെട്ട രണ്ട് പരിധികൾ പലപ്പോഴും ഒന്നായി വായിക്കപ്പെടുന്നു. അവ ഒന്നല്ല. മൃദു ജീവിതകാലം, നിലവിലെ സുരക്ഷാ സംഘടന ഇപ്പോഴും ട്രാഫിക് വഹിക്കുമ്പോൾ പിയറിനോട് മാറ്റിസ്ഥാപിക്കൽ നിർമ്മിക്കാൻ ആവശ്യപ്പെടുന്നു, കഠിന ജീവിതകാലം, മാറ്റിസ്ഥാപിക്കൽ വിജയിച്ചോ ഇല്ലയോ എന്നത് കണക്കിലെടുക്കാതെ പഴയ സംഘടന പോകുന്ന സമയപരിധിയാണ്. അവയ്ക്കിടയിൽ പാക്കറ്റുകൾ വിടവിലേക്ക് വീഴാതിരിക്കാൻ ഒരു ഓവർലാപ്പ് വിൻഡോ ഉണ്ട്.

ജീവിതകാലം യഥാർത്ഥത്തിൽ എന്താണ് പരിമിതപ്പെടുത്തുന്നത്

IPsec സുരക്ഷാ സംഘടന എന്നത് ക്രിപ്റ്റോഗ്രാഫിക് അവസ്ഥയുടെ കെട്ടാണ്: ഒരു ദിശയ്ക്കുള്ള കീകൾ, സുരക്ഷാ പരാമിതി സൂചിക, അൽഗോരിതം കൂട്ടം, സെലക്ടർ. ജീവിതകാലം ആ അവസ്ഥ എത്രകാലം ഉപയോഗിക്കാമെന്ന് പരിമിതപ്പെടുത്തുന്നു, അത് ഒരു കീ എത്ര ട്രാഫിക് സംരക്ഷിക്കുന്നു എന്ന് പരിമിതപ്പെടുത്തുന്നു. ഇത് കീയ്ക്കുള്ള നിയന്ത്രണ നടപടിയാണ്, ഉപയോക്തൃ സെഷൻ എത്രകാലം നീണ്ടുനിൽക്കണം എന്ന പ്രസ്താവനയല്ല.

IKE നിയന്ത്രണ സംഘടനകൾക്ക് സ്വന്തം കീകളും സ്വന്തം ജീവിതകാലവുമുണ്ട്, അവ ഡാറ്റ വഹിക്കുന്ന ചൈൽഡ് സംഘടനകളിൽ നിന്ന് വേർതിരിച്ചതാണ്. ഇവിടെയാണ് ആളുകൾ രണ്ട് സമയപ്പട്ടികകൾ കൂട്ടിക്കുഴയ്ക്കുന്നത്.

മൃദു മാറ്റിസ്ഥാപിക്കൽ തുടങ്ങുന്നു, കഠിനം പഴയ അവസ്ഥ അവസാനിപ്പിക്കുന്നു

മൃദു പരിധി അടുക്കുമ്പോൾ പിയർ മാറ്റിസ്ഥാപിക്കൽ തുടങ്ങുന്നു. നടപ്പാക്കലുകൾ സാധാരണയായി നേരത്തെ പ്രവർത്തിക്കുകയും നിമിഷം റാൻഡമൈസ് ചെയ്യുകയും ചെയ്യുന്നു, നൂറുകണക്കിന് ടണലുകളുള്ള ഒരു മുഖ്യ നോഡ് എല്ലാ കീകളും ഒരുമിച്ച് പുനരുത്പാദിപ്പിക്കാതിരിക്കാൻ. IKEv2-ൽ മാറ്റിസ്ഥാപിക്കൽ പുതിയ nonce വഹിക്കുന്ന CREATE_CHILD_SA കൈമാറ്റമാണ്, കൂടാതെ പൂർണ്ണ മുന്നോട്ട് രഹസ്യത കോൺഫിഗർ ചെയ്തിട്ടുണ്ടെങ്കിൽ Diffie-Hellman കൈമാറ്റവും. ഫലം പുതിയ കീകളുള്ള പുതിയ ജോഡി സംഘടനകളാണ്.

ഓവർലാപ്പ് പ്രധാനമാണ്. കുറച്ചു സമയം പിയറിന് പഴയതും പുതിയതുമായ സംഘടനകൾ സൂക്ഷിക്കാം, ഒരു ക്യാപ്ചർ രണ്ട് കൂട്ടം ഐഡന്റിഫയറുകൾ കാണിക്കാം. അത് സംവിധാനം പ്രവർത്തിക്കുന്നതാണ്, തകരാറല്ല.

കഠിന പരിധി മാപ്പ് നൽകുന്നില്ല. അപ്പോഴേക്കും മാറ്റിസ്ഥാപിക്കൽ പൂർത്തിയായില്ലെങ്കിൽ, പഴയ സംഘടന പിൻവലിക്കണം, അതുമാത്രം സംരക്ഷിച്ച ട്രാഫിക് നിലയ്ക്കുന്നു. കഠിന കാലഹരണം വരെ നീളുന്ന ആവർത്തിച്ചുള്ള പരാജയപ്പെട്ട കീ പുനരുത്പാദനങ്ങൾ അന്വേഷിക്കാനുള്ള പ്രവർത്തന സൂചനയാണ്, കാരണം ടണൽ ഓരോ ചക്രവും ഒരു സമയപരിധിയിൽ നിൽക്കുന്നു.

ഉപയോഗ പരിധികൾ ഏത് ഘടികാരത്തിനും മുമ്പ് പ്രവർത്തിച്ചേക്കാം

സമയം മാത്രമല്ല പരിധി. ഒരു കീ സംരക്ഷിക്കുന്ന ബൈറ്റുകളോ പാക്കറ്റുകളോ നടപ്പാക്കലുകൾ പരിമിതപ്പെടുത്താം, തിരക്കുള്ള ഒരു ടണൽ പല മണിക്കൂർ ടൈമറിനും വളരെ മുമ്പേ ഉപയോഗ പരിധിയിൽ എത്തും. strongSwan സമയം, ബൈറ്റുകൾ, പാക്കറ്റുകൾ എന്നിവയ്ക്ക് വേർതിരിച്ച ജീവിതകാല, മാർജിൻ ക്രമീകരണങ്ങൾ നൽകുന്നു, അതായത് ഫലപ്രദമായ പുതുക്കൽ പോയിന്റ് ആദ്യം വരുന്ന പരിധിയാണ്, കോൺഫിഗർ ചെയ്ത മാർജിൻ കുറച്ചത്.

ഒരു ടണൽ അതിന്റെ കോൺഫിഗർ ചെയ്ത മണിക്കൂറുകൾ സൂചിപ്പിക്കുന്നതിനേക്കാൾ വളരെ കൂടുതൽ തവണ പുതുക്കുന്നുവെങ്കിൽ, ഘടികാരത്തെ കുറ്റപ്പെടുത്തുന്നതിന് മുമ്പ് ബൈറ്റ്, പാക്കറ്റ് പരിധികൾ പരിശോധിക്കുക. ഒരേ സമയ ക്രമീകരണങ്ങളുള്ള പൂരിത ലിങ്കിനും നിഷ്ക്രിയ ലിങ്കിനും വ്യക്തമായി വ്യത്യസ്ത കീ പുതുക്കൽ നിരക്കുകൾ ഉണ്ടാകും, അവയിൽ ഒന്ന് മാത്രമാണ് ടൈമർ പിന്തുടരുന്നത്.

ഓരോ പിയറും സ്വന്തം നയം നടപ്പാക്കുന്നു

IKEv2 രണ്ട് പിയറുകളും സമാനമായി കാണിക്കേണ്ട ഒരൊറ്റ ജീവിതകാലത്തെക്കുറിച്ച് ചർച്ച ചെയ്യുന്നില്ല. ഓരോ വശവും സ്വന്തം പ്രാദേശിക നയം പ്രയോഗിക്കുന്നു, സ്വന്തം പരിധി അടുക്കുമ്പോൾ മാറ്റിസ്ഥാപിക്കൽ തുടങ്ങാം, RFC 7296 വിഭാഗം 2.8-ൽ വിവരിച്ചിരിക്കുന്നതുപോലെ. അതിനാൽ രണ്ട് പിയറുകളുടെ കോൺഫിഗർ ചെയ്ത മണിക്കൂറുകൾ തമ്മിലുള്ള വ്യത്യാസം യാന്ത്രികമായി ഒരു തകരാറല്ല, എന്നിരുന്നാലും ഒരു വശം മറുവശം ഇപ്പോൾ ഇൻസ്റ്റാൾ ചെയ്ത അവസ്ഥ തുടർച്ചയായി മാറ്റിസ്ഥാപിക്കുകയാണെങ്കിൽ വളരെ വ്യത്യസ്ത മൂല്യങ്ങൾ കലക്കം ഉണ്ടാക്കാം.

ഏകോപനം എന്നാൽ പൊരുത്തപ്പെടുന്ന പെരുമാറ്റമാണ്: കൈമാറ്റത്തിന് മതിയായ നീളമുള്ള ഓവർലാപ്പ് വിൻഡോകൾ, വീണ്ടും ശ്രമിക്കാൻ ഇടം വിടുന്ന മാർജിനുകൾ, ഓരോ പുതുക്കലും ഏത് വശം തുടങ്ങി എന്ന് കാണിക്കുന്ന നിരീക്ഷണം.

കീ പുതുക്കൽ പുനർപ്രമാണീകരണമല്ല

കീ പുതുക്കൽ നിലവിലുള്ള പ്രമാണീകരിച്ച ബന്ധത്തിന് കീഴിൽ കീകൾ പുതുക്കുന്നു. പുനർപ്രമാണീകരണം ഐഡന്റിറ്റി പരിശോധന ആവർത്തിക്കുന്നു, അത് സർട്ടിഫിക്കറ്റ് കൈമാറ്റമോ EAP സംഭാഷണമോ ആകട്ടെ. രണ്ടും വേർതിരിച്ച സമയപ്പട്ടികകളിൽ പ്രവർത്തിക്കുന്നു, വിജയകരമായ പുതുക്കൽ അക്കൗണ്ടിന് ഇപ്പോഴും പ്രവേശനം ഉണ്ടോ എന്നതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല.

ഈ വ്യത്യാസം റദ്ദാക്കലിന് പ്രധാനമാണ്. അക്കൗണ്ട് പ്രവർത്തനരഹിതമാക്കൽ, സർട്ടിഫിക്കറ്റ് റദ്ദാക്കൽ, സെഷൻ അവസാനിപ്പിക്കൽ എന്നിവ നടപ്പാക്കലിൽ വ്യക്തമായ നയം ആവശ്യമുള്ള പ്രവേശന തീരുമാനങ്ങളാണ്; അവ SA ടൈമറിൽ നിന്ന് വരുന്നതല്ല, ഇതിനകം അവകാശങ്ങൾ നഷ്ടപ്പെട്ട ഒരു ഐഡന്റിറ്റിക്കുപോലും കീ പുതുക്കൽ ശാന്തമായി തുടരാം.

ഓരോ ടണലിനും എന്ത് രേഖപ്പെടുത്തണം

ഏത് സംഘടനയാണ് പുതുക്കൽ പ്രേരിപ്പിച്ചത്, പഴയതും പുതിയതുമായ ഐഡന്റിഫയറുകൾ, ഏത് പരിധി പ്രവർത്തിച്ചു, ഓവർലാപ്പിനുള്ളിൽ മാറ്റിസ്ഥാപിക്കൽ പൂർത്തിയായോ എന്നിവ രേഖപ്പെടുത്തുക. ആ നാല് ഫീൽഡുകൾ കീ പുതുക്കൽ പ്രശ്നം തടസ്സമാകുന്നതിന് മുമ്പ് ദൃശ്യമാക്കുന്നു, ആക്രമണാത്മക നയത്തെ പരാജയപ്പെടുന്ന നയത്തിൽ നിന്ന് വേർതിരിക്കുന്നു.

പ്രവേശനം നീക്കം ചെയ്യാനുള്ള സമയപ്പട്ടിക ആ രേഖയ്ക്കുള്ളിൽ അല്ല, അതിന് അടുത്ത് സൂക്ഷിക്കുക. ക്രിപ്റ്റോഗ്രാഫിക് ശുചിത്വവും ഐഡന്റിറ്റി നയവും വ്യത്യസ്ത നിയന്ത്രണങ്ങളാണ്, സമയത്തിന് കീകൾ കറക്കുന്ന ഒരു ടണലിന് പോലും ആരും നിലനിർത്താൻ ഉദ്ദേശിക്കാത്ത ഒരു സെഷൻ കൈവശം ഉണ്ടായിരിക്കാം.