Түлхүүр шинэчлэх, дахин холбогдох эсвэл дахин баталгаажуулах: аль нь хэрэгтэй вэ?
Түлхүүр шинэчлэл сессийн түлхүүрийг сольдог, дахин холбогдолт холболтыг дахин байгуулдаг, дахин баталгаажуулалт таних тэмдгийг давтдаг. Эдгээрийг андуурвал буруу засвар хийнэ.
Хэдэн цагийн турш ажиллаж буй сесс ижил түлхүүрийг үүрд хадгалахгүй бөгөөд энэ нь зориуд юм. Гурван өөр үйл явдлыг түлхүүр эргэлт гэж нэрлэдэг: одоо байгаа ассоциацийн дор шинэ сессийн материал, холболтыг бүрэн дахин байгуулах, мөн таних тэмдгийн шалгалтыг давтах. Тус бүр өөр өдөөгч, өөр зардал, өөр алдааны шинжтэй. Бурууг сонговол засвар нь юу ч хийхгүй эсвэл шалтгаангүйгээр туннелийг унагана.
Шийдвэр нь аль давхарга үнэхээр дууссан эсэхээс хамаарна.
Эргэлт гэж нэрлэгддэг гурван үйлдэл
Түлхүүр шинэчлэл нь одоо байгаа удирдлагын харилцааны дотор протоколын тодорхойлсон механизмыг ашиглан шинэ урсгалын түлхүүр үүсгэдэг. IKEv2 үүнийг шинэ харьяа аюулгүй байдлын ассоциациар, TLS 1.3 түлхүүр шинэчлэх мессежээр, WireGuard нь цаг эсвэл мессежийн хязгаарт хүрэх үед шинэ гар барилтаар хийнэ. Туннелийн хаяг болон баталгаажсан таних тэмдэг байрандаа үлдэнэ.
Дахин холбогдох нь холболтыг хаяж, эхнээс нь дахин байгуулдаг бөгөөд энэ нь хаяг хуваарилах, маршрут суулгах, эхний оролдлогын бүх хэлэлцээрийг давтана.
Дахин баталгаажуулалт нь таних тэмдгийн нотолгоог өөрөө давтдаг бөгөөд үүнд нэвтрэх мэдээлэл, гэрчилгээ эсвэл хоёр дахь хүчин зүйл багтаж болно. Бүтээгдэхүүнээс хамаарч дахин холбогдолттой эсвэл түүнгүйгээр явагдаж болно.
Шинэчлэлтийн үед хэрэглэгчид юу анзаардаг
Түлхүүр шинэчлэл бараг үл үзэгдэх байх ёстой. Ассоциацийн танигчид өөрчлөгдөж, тоолуурууд тэглэгдэж болох бөгөөд програмууд сокетоо хадгална; солилцооны үеэр нэг чиглэлд богино завсарлага хэвийн. Төлөвийн жагсаалтад шинэ танигч харагдах нь гэмтлийн нотолгоо биш. Солилцооны дараах лог мөр нь дууссан эсэхийг хэлнэ.
Шинэчлэлтийн үеийн бодит тасалдал тодорхой газар заана. Саналын зөрүү, хугацаа дууссан нэвтрэх мэдээлэл эсвэл замын өөрчлөлт тус бүр өөр лог мөр үүсгэдэг бөгөөд тэдгээрийн зөвхөн нэгийг нь хугацааг тохируулж засдаг.
Практикт гурав хаана салдаг
Хугацаа дууссан цорын ганц зүйл нь түлхүүрийн материал бол түлхүүрээ шинэчил. Хэрэв хосын хаяг, маршрут эсвэл NAT холболт өөрчлөгдөж, пакетууд цаашид ирэхгүй бол дахин холбогдоорой. Хэрэв байгууллага үе үе таних тэмдгийн шалгалт шаарддаг бол энэ нь дахин баталгаажуулалт бөгөөд ямар ч хугацааны тохиргоо үүнийг орлохгүй.
Протоколын анхдагч утгууд ихэвчлэн зөв хариултыг агуулдаг. WireGuard хэрэглэгчийн үйлдэлгүйгээр цаг болон өгөгдлийн хэмжээний босго дараа түлхүүрийг сольдог; IKEv2-ын хугацааг харьяа ассоциаци бүрд тохиролцдог; TLS-д суурилсан туннель одоо байгаа сессийн дотор түлхүүрийг эргүүлдэг. Давтагдах алдаанаас зайлсхийхээр хугацааг нэмэгдүүлэх нь алдааг хойшлуулж, түлхүүр алдагдвал өртөлтийг уртасгана.
Урт сессийн хувьд нэг анхааруулга чухал: зөвхөн давтамж нь урагшлах нууцлалыг үүсгэдэггүй. Энэ шинж чанар нь сессийн түлхүүрүүд урт хугацааны нууцтай хэрхэн холбогдож, хуучин түлхүүрийг устгаж байгаа эсэхээс хамаардаг бөгөөд энэ нь тохиргоо биш, дизайн ба хэрэгжүүлэлтийн асуудал юм.
Анхдагч утгыг сонгоод, дараа нь үе шатыг бүртгэ
Баримтжуулсан шаардлага өөрөөр заагаагүй бол нийлүүлэгчийн анхдагч утгыг хадгалж, хугацааг өөрчлөх бол хоёр талд нь өөрчил. Дараа нь үйл явдал бүр аль үе шатанд хүрснийг бүртгэж, дараагийн тохиолдлыг гар барилтын ижил цэгтэй харьцуулж болно.
swanctl --list-sas ip xfrm state | grep -E 'proto|replay-window' wg show journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'
Засварын дараа хяналттай шинэчлэлт хийж, шинэ ассоциациар шинэ програмын урсгал илгээ. Өөрийгөө тогтоогдсон гэж мэдээлдэг ч юу ч дамжуулдаггүй туннель бол энэ шалгалтын барих зорилготой алдаа юм.