Għaliex it-tunnel IPsec tiegħek jaħdem sal-ewwel tiġdid tal-kjavi CHILD SA

It-tunnel tela’, il-ping wieġeb, u kulħadd iffirma. Erba’ sigħat wara s-sessjoni taqa’, il-pari jirreġistraw żball fil-proposta jew fl-iskambju tal-kjavi, u l-ewwel suppożizzjoni hija li xi ħaġa nbidlet fuq in-netwerk. Xejn ma nbidel. Tunnel li jġorr it-traffiku wera li ż-żewġ pari jaqblu dwar kif jawtentikaw u kif jipproteġu l-ewwel assoċjazzjoni tifel, u ma wera xejn dwar l-iskambju tal-kjavi li se jitolbu fit-tiġdid. In-nuqqas ta’ qbil jinsab fil-vojt bejn dawn iż-żewġ avvenimenti.

Konness ma jfissirx li l-issettjar tal-PFS jaqbel

B’IKEv2, l-ewwel assoċjazzjoni tifel tinħoloq waqt l-iskambju tal-awtentikazzjoni, u l-kjavi tagħha huma derivati minn materjal li l-assoċjazzjoni IKE diġà pproduċiet. Ma jseħħ l-ebda skambju Diffie-Hellman separat għal dak it-tifel, għalhekk politika li titlob wieħed fit-tiġdid ma tiġix ippruvata waqt it-tlugħ.

It-tiġdid huwa skambju ieħor. Meta l-kjavi ta’ assoċjazzjoni tifel jiġġedded, il-pari jistgħu jagħmlu skambju ġdid tal-kjavi mal-grupp imsemmi fil-proposti tagħhom, u dak huwa l-ewwel mument li fih l-issettjar tal-grupp jitqabbel. Għalhekk żewġ pari li ma jaqblux jistgħu jawtentikaw, jinstallaw assoċjazzjoni tifel u jgħaddu t-traffiku, u mbagħad ifallu fit-tiġdid.

Fejn jinħeba n-nuqqas ta’ qbil fil-korda tal-proposta

F’strongSwan il-grupp jiġi miżjud mal-proposta tat-tifel, u għalhekk korda bħal aes256gcm16-prfsha256-ecp256 tidher bħala għażla ta’ ċifrar iżda ġġorr ukoll rekwiżit tal-iskambju tal-kjavi. Pari li joffri biss aes256gcm16-prfsha256 m’għandux dak ir-rekwiżit, u ż-żewġ listi jaqblu fl-inċifrar iżda jiddiverġu fl-iskambju.

Aqra l-proposta tat-tifel u l-proposta IKE bħala listi separati. Grupp li jidher fil-lista IKE ma jgħid xejn dwar il-lista tat-tifel, u li teditja waħda waqt li taqra l-oħra huwa l-mod tas-soltu li bih dan jiġi mitluf.

Aqra l-falliment, mhux il-fajl li editjajt

Sib in-notify li temm l-iskambju. Tiġdid tal-kjavi tat-tifel li jirritorna «ebda proposta aċċettabbli» jindika l-listi tal-proposti; talba għal tiġdid li qatt ma tirċievi tweġiba tindika l-mogħdija jew pari li waqaf jisma’. Dawn it-tnejn jeħtieġu tiswijiet differenti, u l-kliem tal-linja tal-log jifridhom.

Ikkonferma l-konfigurazzjoni li qed taħdem, mhux dik fuq id-diska. Fajl li jiġi salvat imma mhux mgħobbi, jew konnessjoni li terġa’ tinqara minn include ieħor, se tipproduċi nuqqas ta’ qbil li ebda editjar tal-fajl viżibbli ma jista’ jsewwih.

Tliet avvenimenti li kollha jissejħu tiġdid tal-kjavi

It-tiġdid tal-kjavi tal-assoċjazzjoni IKE, l-awtentikazzjoni mill-ġdid tal-IKE u t-tiġdid tal-kjavi tal-assoċjazzjoni tifel huma operazzjonijiet separati b’regoli tal-proposta separati. Falliment irrappurtat f’wieħed minnhom ma jgħid xejn direttament dwar l-oħrajn, u log li jħallathom jinqara bħala difett wieħed rikorrenti meta huma tlieta.

Innota liema avveniment isemmi l-pari, imbagħad iċċekkja l-proposti għal dak l-avveniment biss. Ibdel lista waħda, erġa’ għabbi u ġġiegħel l-istess avveniment mill-ġdid. Jekk il-log isemmi awtentikazzjoni mill-ġdid, il-proposta IKE hija dik li trid tinqara. Jekk isemmi tiġdid tal-kjavi tat-tifel, il-proposta tat-tifel ġġorr il-grupp li jgħodd.

Li titfi t-tiġdid mhuwiex tiswija

It-tqegħid tal-ħin tat-tiġdid tal-kjavi għal żero jrażżan l-iskambju li jfalli, u t-tunnel imbagħad jibqa’ ħaj sakemm jiġi żmontat jew il-pari jerġa’ jibda. Dak li xtrajt huwa kjavi li ddum aktar u nuqqas ta’ qbil li se jilqgħek mill-ġdid waqt migrazzjoni, awditjar jew aġġornament mill-fornitur. L-istess jgħodd għal żminijiet ta’ ħajja mġebbda ferm lil hinn mill-politika li tistenna n-naħa l-oħra.

Minflok allinja l-proposti. Agħżel grupp li jimplimentaw iż-żewġ pari, poġġih fil-proposta tat-tifel fiż-żewġ trufijiet, u żomm il-politika tat-tiġdid fil-firxa li l-organizzazzjoni fil-fatt teħtieġ.

Ippruvah bl-iskambju li falla

Qassar il-ħin tat-tiġdid tal-kjavi tat-tifel f’tieqa ta’ manutenzjoni biex l-avveniment jasal fi ftit minuti minflok sigħat, jew iġbed tiġdid tal-kjavi tat-tifel manwalment. Imbagħad oqgħod għal tiġdid li jirnexxi u kkonferma li t-traffiku jkompli jgħaddi minnu, għax handshake ġdid li jinstalla assoċjazzjoni tifel imma jwaqqa’ l-fluss tal-applikazzjoni huwa difett differenti.

Wara dan erġa’ stabbilixxi l-ħajja normali u żomm iż-żewġ rekords tal-avvenimenti, dak li falla u dak li rnexxa. Il-prova li trid hi li l-konnessjoni tgħaddi miċ-ċiklu tal-ħajja tagħha stess, mhux li għaddiet minn ping.