IKEv2 дахь SA-ийн амьдрах хугацаа: зөөлөн түлхүүр шинэчлэл, хатуу дуусах, тусдаа дахин баталгаажуулалт

Таймерууд туннелийн түлхүүрүүд хэзээ солигдохыг тодорхойлдог бөгөөд хоёр хязгаарыг ихэвчлэн нэг гэж уншдаг. Гэвч тийм биш. Зөөлөн амьдрах хугацаа нь одоогийн аюулгүй байдлын нэгдэл трафик зөөж байх үед түншээс солилт бүтээхийг хүсдэг бөгөөд хатуу хугацаа нь солилт ажилласан эсэхээс үл хамааран хуучин нэгдэл арилах эцсийн хугацаа юм. Тэдний хооронд багцууд цоорхойд унахгүйн тулд давхцлын цонх байдаг.

Амьдрах хугацаа үнэндээ юуг хязгаарладаг

IPsec аюулгүй байдлын нэгдэл нь криптограф төлөвийн багц: нэг чиглэлийн түлхүүрүүд, аюулгүй байдлын параметрийн индекс, алгоритмын багц ба сонголт. Амьдрах хугацаа нь тухайн төлөвийг хэр удаан ашиглаж болохыг хязгаарладаг бөгөөд энэ нь нэг түлхүүр хэдийг хамгаалахыг хязгаарладаг. Энэ нь түлхүүрийг хязгаарлах арга хэмжээ, хэрэглэгчийн сесс хэр удаан үргэлжлэх ёстой гэсэн мэдэгдэл биш.

IKE хяналтын нэгдлүүд өөрийн түлхүүр, өөрийн амьдрах хугацаатай бөгөөд өгөгдөл зөөдөг хүүхэд нэгдлээс тусдаа. Хүмүүс хоёр хуваарийг энд анх хольдог.

Зөөлөн нь солилтыг эхлүүлж, хатуу нь хуучин төлөвийг дуусгана

Зөөлөн хязгаар ойртоход түнш солилтыг эхлүүлдэг. Хэрэгжүүлэлтүүд ихэвчлэн эрт ажиллаж, мөчийг санамсаргүй болгодог, ингэснээр олон зуун туннельтай зангилаа бүх түлхүүрийг зэрэг шинэчлэхгүй. IKEv2-д солилт нь шинэ nonce зөөсөн CREATE_CHILD_SA солилцоо бөгөөд төгс урагш нууцлал тохируулсан бол Diffie-Hellman солилцоо нэмэгдэнэ. Үр дүн нь шинэ түлхүүртэй шинэ хос нэгдэл юм.

Давхцал чухал. Богино хугацаанд түнш хуучин ба шинэ нэгдлийг хоёуланг нь барьж болох бөгөөд бичлэг хоёр багц таних тэмдэг харуулж болно. Энэ нь механизмын ажиллагаа, гэмтэл биш.

Хатуу хязгаар өршөөлгүй. Хэрэв солилт тэр хүртэл дуусаагүй бол хуучин нэгдлийг гаргах ёстой бөгөөд зөвхөн түүгээр хамгаалагдсан трафик зогсоно. Хатуу дуусах хүртэл үргэлжлэх давтагдсан бүтэлгүй түлхүүр шинэчлэл нь мөрдөн шалгах үйл ажиллагааны дохио, учир нь туннель мөчлөг бүрт эцсийн хугацаанд тулгуурладаг.

Хэрэглээний хязгаарууд ямар ч цагаас өмнө ажиллаж болно

Цаг бол цорын ганц хязгаар биш. Хэрэгжүүлэлтүүд нэг түлхүүрээр хамгаалагдсан байт эсвэл багцыг хязгаарлаж болох бөгөөд завгүй туннель олон цагийн таймераас хамаагүй өмнө хэрэглээний хязгаарт хүрнэ. strongSwan цаг, байт, багцын хувьд тусдаа амьдрах хугацаа, маржин тохиргоог санал болгодог, өөрөөр хэлбэл үр дүнтэй шинэчлэлийн цэг нь эхлээд ирэх хязгаар, тохируулсан маржиныг хасч.

Туннель тохируулсан цагаасаа хамаагүй олон удаа шинэчлэгддэг бол цагийг буруутгахаас өмнө байт, багцын хязгаарыг шалгана уу. Ижил цагийн тохиргоотой дүүрсэн холбоос ба сул холбоос түлхүүр шинэчлэлийн хурдаараа мэдэгдэхүйц ялгаатай байх бөгөөд тэдгээрийн зөвхөн нэг нь таймерыг дагадаг.

Түнш бүр өөрийн бодлогыг хэрэгжүүлдэг

IKEv2 нь хоёр түнш ижилхэн харуулах ёстой ганц амьдрах хугацааны талаар хэлэлцээр хийдэггүй. Тал бүр өөрийн орон нутгийн бодлогыг хэрэглэж, өөрийн хязгаар ойртоход солилтыг эхлүүлж болно, RFC 7296-ийн 2.8 хэсэгт тайлбарласны дагуу. Тиймээс хоёр түншийн тохируулсан цагийн зөрүү автоматаар алдаа биш, гэхдээ нэг тал нөгөөгийнх нь дөнгөж суулгасан төлөвийг тасралтгүй сольж байвал эрс өөр утгууд бужигнаан үүсгэж болно.

Зохицуулалт гэдэг нь нийцтэй зан төлөв: солилцоонд хангалттай урт давхцлын цонх, дахин оролдлогын зай үлдээсэн маржин, аль тал шинэчлэл бүрийг эхлүүлснийг харуулах хяналт.

Түлхүүр шинэчлэл нь дахин баталгаажуулалт биш

Түлхүүр шинэчлэл нь одоо байгаа баталгаажсан харилцааны хүрээнд түлхүүрүүдийг сэргээдэг. Дахин баталгаажуулалт нь хувь хүний шалгалтыг давтана, энэ нь гэрчилгээ солилцоо эсвэл EAP яриа байж болно. Хоёулаа тусдаа хуваариар ажилладаг бөгөөд амжилттай шинэчлэл нь бүртгэлд өөр нэвтрэх эрх байх ёстой эсэх талаар юу ч хэлдэггүй.

Энэ ялгаа нь хүчингүй болгоход чухал. Бүртгэлийг идэвхгүй болгох, гэрчилгээг хүчингүй болгох эсвэл сессийг зогсоох нь хэрэгжүүлэлтэд тодорхой бодлого шаарддаг нэвтрэх шийдвэрүүд; тэдгээр нь SA таймераас гарахгүй бөгөөд аль хэдийн эрх хасагдсан хүний хувьд ч түлхүүр шинэчлэл тайван үргэлжилж болно.

Туннель бүрт юу бүртгэх вэ

Аль нэгдэл шинэчлэлийг өдөөсөн, хуучин ба шинэ таних тэмдэг, аль хязгаар ажилласан, давхцлын дотор солилт дууссан эсэхийг бүртгээрэй. Тэдгээр дөрвөн талбар нь түлхүүр шинэчлэлийн асуудлыг тасалдал болохоос өмнө харагдахуйц болгож, түрэмгий бодлогыг бүтэлгүй бодлогоос ялгадаг.

Нэвтрэх эрхийг хасах хуваарийг тэр бүртгэлийн дотор биш, хажууд нь байлга. Криптограф эрүүл ахуй ба хувь хүний бодлого нь өөр өөр хяналт бөгөөд цагт нь түлхүүр эргүүлдэг туннель ч хэн ч хадгалахаар төлөвлөөгүй сессийг барьсаар байж болно.