Таны IPsec туннель яагаад эхний CHILD SA түлхүүр шинэчлэлт хүртэл ажилладаг вэ

Туннель босож, ping хариу өгч, бүгд гарын үсэг зурлаа. Дөрвөн цагийн дараа сесс унаж, талууд санал эсвэл түлхүүр солилцооны алдаа бүртгэж, эхний таамаг сүлжээнд ямар нэг зүйл өөрчлөгдсөн гэсэн байна. Юу ч өөрчлөгдөөгүй. Трафик дамжуулдаг туннель хоёр тал баталгаажуулалт хийх, эхний охин ассоциацийг хамгаалах аргад санал нэгтэй гэдгийг баталсан бөгөөд шинэчлэлтэд шаардах түлхүүр солилцооны талаар юу ч батлаагүй. Зөрүү нь эдгээр хоёр үйл явдлын хоорондох завсарт оршино.

Холбогдсон гэдэг нь PFS тохиргоо таарч байна гэсэн үг биш

IKEv2-д эхний охин ассоциаци баталгаажуулалтын солилцооны үеэр үүсч, түүний түлхүүрүүд IKE ассоциацийн аль хэдийн үйлдвэрлэсэн материалаас гаралтай. Тэр охинд тусдаа Diffie-Hellman солилцоо болохгүй тул шинэчлэлтэд үүнийг шаарддаг бодлого өргөх үед шалгагдахгүй.

Шинэчлэлт бол өөр солилцоо. Охин ассоциацийн түлхүүр шинэчлэгдэхэд талууд саналдаа нэрлэсэн бүлэгтэй шинэ түлхүүр солилцоо хийж болох бөгөөд бүлгийн тохиргоог анх удаа харьцуулах мөч энэ юм. Тиймээс санал нийлэхгүй хоёр тал баталгаажуулж, охин ассоциаци суулгаж, трафик дамжуулаад, дараа нь шинэчлэлтэд бүтэлгүйтэж болно.

Санал мөрөнд зөрүү хаана нуугддаг вэ

strongSwan-д бүлэг охин саналд нэмэгддэг, тиймээс aes256gcm16-prfsha256-ecp256 мэт мөр шифрлэлтийн сонголт мэт харагдах боловч түлхүүр солилцооны шаардлагыг ч агуулна. Зөвхөн aes256gcm16-prfsha256 санал болгодог талд ийм шаардлага байхгүй бөгөөд хоёр жагсаалт шифрлэлтэд огтлолцож, солилцоонд ялгаатай байна.

Охин санал ба IKE саналыг тусдаа жагсаалт гэж уншина уу. IKE жагсаалтад гарч буй бүлэг охин жагсаалтын талаар юу ч хэлэхгүй бөгөөд нэгийг уншиж байхдаа нөгөөг засах нь үүнийг алдах ердийн арга юм.

Алдааг уншина уу, зассан файлыг биш

Солилцоог дуусгасан notify-г ол. Хүлээн зөвшөөрөх санал байхгүй гэж буцаадаг охин түлхүүр шинэчлэлт саналын жагсаалтуудыг заана; хэзээ ч хариу авдаггүй шинэчлэлтийн хүсэлт зам эсвэл сонсохоо болиулсан талыг заана. Эдгээр хоёрт өөр засвар хэрэгтэй бөгөөд лог мөрийн найруулга тэднийг ялгана.

Диск дээрх биш, ажиллаж буй тохиргоог батал. Хадгалсан боловч ачаалагдаагүй файл, эсвэл өөр include-оос дахин уншсан холболт нь харагдах файлыг хэдий чинээ зассан ч засагдахгүй зөрүү үүсгэнэ.

Бүгд түлхүүр шинэчлэлт гэж нэрлэдэг гурван үйл явдал

IKE ассоциацийн түлхүүр шинэчлэлт, IKE дахин баталгаажуулалт, охин ассоциацийн түлхүүр шинэчлэлт нь тусдаа саналын дүрэмтэй тусдаа үйлдлүүд юм. Тэдний нэгэнд мэдээлэгдсэн алдаа бусадтай шууд хамаагүй бөгөөд тэднийг хольсон лог гурван байхад нэг давтагдах гэмтэл мэт уншигдана.

Тал аль үйл явдлыг нэрлэж байгааг ажиж, дараа нь зөвхөн тэр үйл явдлын саналыг шалга. Нэг жагсаалтыг өөрчилж, дахин ачаалж, мөн үйл явдлыг дахин албад. Хэрэв лог дахин баталгаажуулалтыг нэрлэвэл унших ёстой нь IKE санал юм. Хэрэв охин түлхүүр шинэчлэлтийг нэрлэвэл чухал бүлгийг охин санал агуулна.

Шинэчлэлтийг унтраах нь засвар биш

Түлхүүр шинэчлэлтийн цагийг тэг болгох нь бүтэлгүйтэж буй солилцоог дарж, туннель дараа нь буулгах эсвэл тал дахин эхлэх хүртэл амьдарна. Таны худалдаж авсан зүйл бол урт насалсан түлхүүр болон шилжилт, аудит эсвэл нийлүүлэгчийн шинэчлэлтийн үеэр дахин таарах зөрүү юм. Нөгөө талын хүлээж буй бодлогоос хол давсан хугацаанд ч мөн адил.

Оронд нь саналуудыг зэрэгцүүл. Хоёр тал хэрэгжүүлдэг бүлгийг сонгож, хоёр төгсгөлд нь охин саналд хий, шинэчлэлтийн бодлогыг байгууллагын үнэхээр шаарддаг хүрээнд байлга.

Бүтэлгүйтсэн солилцоогоор үүнийг батал

Засварын цонхонд охин түлхүүр шинэчлэлтийн цагийг богиносгож, үйл явдал цаг биш минутад ирэх болго, эсвэл гараар охин түлхүүр шинэчлэлт ажиллуул. Дараа нь амжилттай шинэчлэлтийг ажиж, трафик түүгээр үргэлжилж байгааг батал, учир нь охин ассоциаци суулгадаг ч програмын урсгалыг унагадаг шинэ гар барилт өөр гэмтэл юм.

Дараа нь хэвийн хугацааг сэргээж, хоёр үйл явдлын бүртгэлийг хоёуланг нь хадгал, бүтэлгүйтсэн ба амжилттайг. Таны хүсэж буй нотолгоо бол холболт өөрийн амьдралын мөчлөгийг даван туулдаг, ping даван туулсан гэсэн үг биш.