IKEv2 मधील SA आयुष्यकाल: मऊ किल्ली नूतनीकरण, कठोर समाप्ती, वेगळे पुनर्प्रमाणीकरण

टायमर ठरवतात की बोगद्याच्या किल्ल्या कधी बदलल्या जातील, आणि सहभागी दोन उंबरठे अनेकदा एक म्हणून वाचले जातात। ते एक नाहीत। मऊ आयुष्यकाल सध्याचे सुरक्षा संघटन अजून वाहतूक वाहत असताना सहकाऱ्याला बदली बांधायला सांगतो, आणि कठोर आयुष्यकाल ही अशी मुदत आहे ज्यानंतर बदली काम करो वा न करो, जुने संघटन नाहीसे होते। त्यांच्यामध्ये पॅकेट्स अंतरात न पडण्यासाठी एक आच्छादन खिडकी आहे।

आयुष्यकाल प्रत्यक्षात काय मर्यादित करतो

IPsec सुरक्षा संघटन म्हणजे गुप्तलेखन स्थितीचा गठ्ठा: एका दिशेसाठी किल्ल्या, सुरक्षा प्राचल निर्देशांक, अल्गोरिदम संच आणि निवडक। आयुष्यकाल ती स्थिती किती काळ वापरता येईल हे मर्यादित करतो, ज्यामुळे एक किल्ली किती वाहतूक संरक्षित करते हे मर्यादित होते। हे किल्लीसाठी नियंत्रण उपाय आहे, वापरकर्ता सत्र किती काळ टिकावे याचे विधान नाही।

IKE नियंत्रण संघटनांना स्वतःच्या किल्ल्या आणि स्वतःचे आयुष्यकाल असतात, जे डेटा वाहणाऱ्या चाइल्ड संघटनांपासून वेगळे असतात। इथेच लोक दोन वेळापत्रके एकत्र करतात।

मऊ बदली सुरू करते, कठोर जुनी स्थिती संपवते

मऊ उंबरठा जवळ आल्यावर सहकारी बदली सुरू करतो। अंमलबजावणी सहसा लवकर कार्यान्वित होते आणि क्षण यादृच्छिक करते, जेणेकरून शेकडो बोगदे असलेला प्रमुख टोक सर्व किल्ल्या एकत्र नूतनीकरण करणार नाही। IKEv2 मध्ये बदली ही नवीन nonce वाहणारी CREATE_CHILD_SA देवाणघेवाण आहे, आणि पूर्ण पुढे जाणारी गोपनीयता संरचित असल्यास Diffie-Hellman देवाणघेवाणही। परिणाम नवीन किल्ल्यांसह नवीन जोडी संघटनेचा आहे।

आच्छादन महत्त्वाचे आहे। थोडा काळ सहकारी जुने आणि नवे संघटन दोन्ही ठेवू शकतो, आणि कॅप्चर ओळखींचे दोन संच दाखवू शकते। हे यंत्रणा कार्यरत असल्याचे लक्षण आहे, दोष नाही।

कठोर उंबरठा क्षमा करत नाही। जर तोपर्यंत बदली पूर्ण झाली नाही, तर जुने संघटन निवृत्त करावे लागते आणि केवळ त्याद्वारे संरक्षित वाहतूक थांबते। कठोर समाप्तीपर्यंत जाणारे वारंवार अपयशी किल्ली नूतनीकरण तपासणीसाठी कार्यरत संकेत आहेत, कारण बोगदा प्रत्येक चक्रात एका मुदतीवर उभा असतो।

वापर मर्यादा कोणत्याही घड्याळापूर्वी लागू होऊ शकतात

वेळ ही एकमेव मर्यादा नाही। अंमलबजावणी एका किल्लीने संरक्षित बाइट किंवा पॅकेट मर्यादित करू शकते, आणि व्यस्त बोगदा अनेक तासांच्या टायमरपेक्षा खूप आधी वापर मर्यादेपर्यंत पोहोचेल। strongSwan वेळ, बाइट आणि पॅकेटसाठी वेगळी आयुष्यकाल व मार्जिन संयोजने देते, म्हणजे प्रभावी नूतनीकरण बिंदू हा आधी येणारा उंबरठा वजा संरचित मार्जिन आहे।

बोगदा त्याच्या संरचित तासांपेक्षा खूप जास्त वेळा नूतनीकरण होत असेल, तर घड्याळाला दोष देण्यापूर्वी बाइट आणि पॅकेट मर्यादा तपासा। समान वेळ संयोजने असलेल्या संपृक्त दुव्याचे आणि निष्क्रिय दुव्याचे किल्ली नूतनीकरण दर स्पष्टपणे वेगळे असतील, आणि त्यापैकी एकच टायमरचे अनुसरण करतो।

प्रत्येक सहकारी आपले धोरण लागू करतो

IKEv2 दोन्ही सहकाऱ्यांनी एकसारखा दाखवावा अशा एकाच आयुष्यकालाची वाटाघाटी करत नाही। प्रत्येक बाजू आपले स्थानिक धोरण लागू करते आणि आपली मर्यादा जवळ आल्यावर बदली सुरू करू शकते, जसे RFC 7296 विभाग 2.8 मध्ये वर्णन केले आहे। म्हणून दोन सहकाऱ्यांच्या संरचित तासांमधील फरक आपोआप दोष नाही, तथापि एक बाजू दुसऱ्याने नुकतीच स्थापित केलेली स्थिती सतत बदलत राहिल्यास अत्यंत भिन्न मूल्ये गोंधळ निर्माण करू शकतात।

समन्वय म्हणजे सुसंगत वर्तन: देवाणघेवाणीसाठी पुरेशी लांब आच्छादन खिडक्या, पुन्हा प्रयत्नांसाठी जागा सोडणारे मार्जिन, आणि प्रत्येक नूतनीकरण कोणत्या बाजूने सुरू केले हे दाखवणारे निरीक्षण।

किल्ली नूतनीकरण म्हणजे पुनर्प्रमाणीकरण नाही

किल्ली नूतनीकरण विद्यमान प्रमाणित संबंधाखाली किल्ल्या ताज्या करते। पुनर्प्रमाणीकरण ओळख तपासणीची पुनरावृत्ती करते, ती प्रमाणपत्र देवाणघेवाण असो वा EAP संभाषण। दोन्ही वेगळ्या वेळापत्रकांवर चालतात आणि यशस्वी नूतनीकरण खात्याला अजूनही प्रवेश असावा का याबद्दल काहीही सांगत नाही।

हा फरक रद्दीकरणासाठी महत्त्वाचा आहे। खाते निष्क्रिय करणे, प्रमाणपत्र रद्द करणे किंवा सत्र संपवणे हे प्रवेश निर्णय आहेत ज्यांना अंमलबजावणीत स्पष्ट धोरण आवश्यक आहे; ते SA टायमरमधून येत नाहीत, आणि आधीच अधिकार काढून घेतलेल्या ओळखीसाठीही किल्ली नूतनीकरण शांतपणे सुरू राहू शकते।

प्रत्येक बोगद्यासाठी काय नोंदवावे

कोणत्या संघटनेने नूतनीकरण सुरू केले, जुन्या आणि नवीन ओळखी, कोणता उंबरठा लागू झाला आणि आच्छादनाच्या आत बदली पूर्ण झाली का हे नोंदवा। ती चार क्षेत्रे किल्ली नूतनीकरणाची समस्या व्यत्यय होण्यापूर्वी दृश्यमान करतात, आणि आक्रमक धोरणाला अपयशी धोरणापासून वेगळे करतात।

प्रवेश काढण्याचे वेळापत्रक त्या नोंदीच्या आत नाही, तर शेजारी ठेवा। गुप्तलेखन स्वच्छता आणि ओळख धोरण वेगवेगळे नियंत्रण आहेत, आणि वेळेवर किल्ल्या फिरवणाऱ्या बोगद्याकडेही कोणीही ठेवण्याचा उद्देश नसलेले सत्र असू शकते।