IKEv2: pembaharuan kunci berbanding pengesahan semula — mengapa sambungan terputus kemudian

Terowong naik pada waktu pagi dan berfungsi berjam-jam. Kemudian ia terputus, menyambung semula selepas satu percubaan dan melakukan perkara yang sama keesokan harinya. Tiada apa yang berubah pada rangkaian dan tiada siapa menyentuh kata laluan. Sesi yang gagal pada sempadan pembaharuan biasanya melintasi salah satu daripada dua operasi berbeza, dan hanya satu daripadanya menyemak semula kelayakan anda. Membaca yang mana tercetus ialah keseluruhan diagnosis.

Dua operasi yang kelihatan serupa dari luar

Pembaharuan kunci menggantikan persatuan keselamatan atau bahan kunci dalam pertukaran yang ditakrifkan oleh protokol. Pengesahan tidak diulang, jadi identiti yang diterima pada permulaan sesi hanya dibawa ke hadapan.

Pengesahan semula pergi lebih jauh: ia membina hubungan yang disahkan baharu, bermakna kelayakan dinilai semula. Apa sahaja yang tamat tempoh, dibatalkan atau diubah dalam direktori menjadi kelihatan pada saat itu.

Apa yang sebenarnya diganti oleh pembaharuan kunci

IKEv2 menyimpan dua jenis persatuan dengan kitaran hayat berasingan. IKE SA melindungi saluran kawalan, dan CHILD SA melindungi trafik sebenar. Memperbaharui satu bukan sinonim dengan menyambung semula klien.

Pemisahan itu menjelaskan corak biasa: trafik mengalir dengan baik, kemudian satu CHILD SA diperbaharui dan cadangan tidak lagi sepadan kerana seseorang mengedit fasa 2 di satu sisi beberapa minggu lebih awal. Perubahan itu terletak di sana tanpa bahaya sehingga pembaharuan menjalankannya.

Ketidakpadanan jangka hayat berkelakuan sama. Pihak mana yang mencapai hadnya dahulu memulakan pertukaran, dan pihak lain mesti menerimanya.

Apa yang dinilai semula oleh pengesahan semula

Dengan pengesahan semula, sijil klien yang sah semasa log masuk mungkin kini telah tamat tempoh. Kelayakan yang dibatalkan, kata laluan yang diputar atau faktor kedua yang tidak tersedia semuanya muncul di sini, bukan pada masa pembaharuan.

Itulah sebabnya memanjangkan setiap jangka hayat terasa seperti pembaikan dan bukan. Anda telah menangguhkan pemeriksaan itu dan bukannya melaluinya. Pembaharuan seterusnya datang dengan kecacatan yang sama dan tetingkap gangguan yang lebih pendek untuk menyedarinya.

Sesetengah pelaksanaan bertindih keadaan lama dan baharu semasa pengesahan semula. Yang lain menghasilkan jurang singkat. Jadi tetapan yang serupa pada dua vendor boleh memberikan pengalaman pengguna yang berbeza. Uji tingkah laku itu dan bukannya menganggap standard menetapkannya.

Baca cap masa sebelum mengubah apa-apa

Rakam saat kegagalan bersama keadaan persatuan sebelum dan selepasnya. Jika persatuan lama diganti tanpa pertukaran pengesahan, anda berada di sempadan pembaharuan. Jika pertukaran AUTH muncul betul-betul sebelum kegagalan, anda berada di pengesahan semula.

strongSwan mendedahkan ini sebagai tetapan berasingan: rekey mengawal pembaharuan kunci, reauth mengawal sama ada pengesahan baharu berlaku, dan nilai margin menentukan berapa jauh sebelum tamat tempoh setiap satu bermula. dokumentasi pembaharuan kunci menerangkan interaksi itu, dan ia wajar dibaca sebelum menyalin jangka hayat daripada kiriman forum.

Bezakan semua ini daripada kehilangan rangkaian biasa. Pautan yang terputus menghasilkan peristiwa pengesanan rakan mati atau badai penghantaran semula, bukan pertukaran bersih dengan cadangan yang sepadan.

Tukar perkara yang gagal

Penolakan kelayakan memerlukan masalah identiti dibaiki: perbaharui sijil, pulihkan akaun, daftar semula faktor itu. Ketidakpadanan cadangan atau jangka hayat memerlukan parameter dibandingkan di kedua-dua belah pihak.

Memanjangkan jangka hayat untuk mengelakkan simptom ialah satu-satunya pilihan yang sentiasa kelihatan berjaya dan tidak pernah berjaya.

Uji pembaharuan terkawal

Paksa pembaharuan itu daripada menunggu sehari untuknya. Kemudian ulangi dengan pengesahan semula jika penggunaan menyokongnya, dan perhatikan kedua-dua hujung.

Log masuk awal yang berjaya tidak melatih apa-apa daripada ini. Kitaran hayat selepasnya ialah tempat penggunaan ini benar-benar rosak.