IKEv2 मा SA जीवनकाल: नरम कुञ्जी नवीकरण, कठोर समाप्ति, छुट्टै पुनःप्रमाणीकरण

टाइमरहरूले सुरुङका कुञ्जीहरू कहिले बदलिने निर्धारण गर्छन्, र संलग्न दुई थ्रेसहोल्डलाई प्रायः एउटै भनेर पढिन्छ। तिनीहरू एक होइनन्। नरम जीवनकालले वर्तमान सुरक्षा संगठन अझै ट्राफिक बोकिरहेको बेला साथीलाई प्रतिस्थापन बनाउन भन्छ, र कठोर जीवनकाल त्यो म्याद हो जसपछि प्रतिस्थापन काम गरे वा नगरे पुरानो संगठन जान्छ। तिनीहरूबीच प्याकेटहरू खाली ठाउँमा नपर्नका लागि एउटा ओभरल्याप विन्डो छ।

जीवनकालले वास्तवमा के सीमित गर्छ

IPsec सुरक्षा संगठन भनेको क्रिप्टोग्राफिक अवस्थाको बन्डल हो: एउटा दिशाका लागि कुञ्जीहरू, सुरक्षा प्यारामिटर सूचकांक, एल्गोरिदम सेट र चयनकर्ता। जीवनकालले त्यो अवस्था कति समय प्रयोग गर्न सकिन्छ भन्ने सीमित गर्छ, जसले एउटा कुञ्जीले कति ट्राफिक सुरक्षित राख्छ भन्ने सीमित गर्छ। यो कुञ्जीका लागि नियन्त्रण उपाय हो, प्रयोगकर्ता सत्र कति लामो हुनुपर्छ भन्ने कथन होइन।

IKE नियन्त्रण संगठनहरूका आफ्नै कुञ्जी र आफ्नै जीवनकाल हुन्छन्, जो डेटा बोक्ने चाइल्ड संगठनहरूबाट अलग हुन्छन्। यहीँ मानिसहरूले दुई तालिका मिसाउँछन्।

नरमले प्रतिस्थापन सुरु गर्छ, कठोरले पुरानो अवस्था अन्त्य गर्छ

नरम थ्रेसहोल्ड नजिक आउँदा साथीले प्रतिस्थापन सुरु गर्छ। कार्यान्वयनहरू सामान्यतया चाँडै सक्रिय हुन्छन् र क्षणलाई अनियमित बनाउँछन्, ताकि सयौँ सुरुङ भएको प्रमुख नोडले सबै कुञ्जी एकैपटक नवीकरण नगरोस्। IKEv2 मा प्रतिस्थापन नयाँ nonce बोक्ने CREATE_CHILD_SA आदानप्रदान हो, साथै पूर्ण अगाडि गोपनीयता कन्फिगर भएको खण्डमा Diffie-Hellman आदानप्रदान पनि। नतिजा नयाँ कुञ्जीसहितको नयाँ जोडी संगठन हो।

ओभरल्याप महत्त्वपूर्ण छ। थोरै समय साथीले पुरानो र नयाँ संगठन दुवै राख्न सक्छ, र क्याप्चरले दुई सेट पहिचानकर्ता देखाउन सक्छ। यो संयन्त्र काम गरिरहेको हो, खराबी होइन।

कठोर थ्रेसहोल्डले क्षमा गर्दैन। यदि त्यतिञ्जेल प्रतिस्थापन पूरा भएन भने पुरानो संगठन निवृत्त गर्नुपर्छ र त्यसबाट मात्र सुरक्षित ट्राफिक रोकिन्छ। कठोर समाप्तिसम्म पुग्ने बारम्बार असफल कुञ्जी नवीकरण अनुसन्धानका लागि सञ्चालन संकेत हुन्, किनकि सुरुङ हरेक चक्रमा एउटा म्यादमा टिकेको हुन्छ।

प्रयोग सीमाहरू कुनै पनि घडीभन्दा पहिले सक्रिय हुन सक्छन्

समय मात्र सीमा होइन। कार्यान्वयनहरूले एउटा कुञ्जीले सुरक्षित गर्ने बाइट वा प्याकेट सीमित गर्न सक्छन्, र व्यस्त सुरुङ धेरै घण्टाको टाइमरभन्दा धेरै अगाडि प्रयोग सीमामा पुग्नेछ। strongSwan ले समय, बाइट र प्याकेटका लागि छुट्टाछुट्टै जीवनकाल र मार्जिन सेटिङ दिन्छ, अर्थात् प्रभावकारी नवीकरण बिन्दु पहिले आउने थ्रेसहोल्ड हो, कन्फिगर गरिएको मार्जिन घटाएर।

कुनै सुरुङले आफ्ना कन्फिगर गरिएका घण्टाले संकेत गरेभन्दा धेरै पटक नवीकरण गर्छ भने, घडीलाई दोष दिनुअघि बाइट र प्याकेट सीमा जाँच्नुहोस्। एउटै समय सेटिङ भएको सन्तृप्त लिङ्क र निष्क्रिय लिङ्कको कुञ्जी नवीकरण दर स्पष्ट रूपमा फरक हुनेछ, र तीमध्ये एउटाले मात्र टाइमर पछ्याउँछ।

हरेक साथीले आफ्नै नीति लागू गर्छ

IKEv2 ले दुवै साथीले समान रूपमा देखाउनुपर्ने एउटै जीवनकालमा वार्ता गर्दैन। हरेक पक्षले आफ्नो स्थानीय नीति लागू गर्छ र आफ्नो सीमा नजिक आउँदा प्रतिस्थापन सुरु गर्न सक्छ, जसरी RFC 7296 खण्ड 2.8 मा वर्णन गरिएको छ। त्यसैले दुई साथीका कन्फिगर गरिएका घण्टाबीचको भिन्नता स्वतः दोष होइन, तर एउटा पक्षले अर्कोले भर्खरै स्थापना गरेको अवस्था लगातार प्रतिस्थापन गरिरह्यो भने धेरै फरक मानले अराजकता ल्याउन सक्छ।

समन्वय भनेको अनुकूल व्यवहार हो: आदानप्रदानका लागि पर्याप्त लामो ओभरल्याप विन्डो, पुनःप्रयासका लागि ठाउँ छोड्ने मार्जिन, र प्रत्येक नवीकरण कुन पक्षले सुरु गर्यो देखाउने अनुगमन।

कुञ्जी नवीकरण पुनःप्रमाणीकरण होइन

कुञ्जी नवीकरणले विद्यमान प्रमाणित सम्बन्धअन्तर्गत कुञ्जीहरू ताजा गर्छ। पुनःप्रमाणीकरणले पहिचान जाँच दोहोर्याउँछ, त्यो प्रमाणपत्र आदानप्रदान होस् वा EAP कुराकानी। दुवै छुट्टै तालिकामा चल्छन् र सफल नवीकरणले खातामा अझै पहुँच हुनुपर्छ कि भन्नेबारे केही भन्दैन।

यो भिन्नता रद्दका लागि महत्त्वपूर्ण छ। खाता निष्क्रिय गर्नु, प्रमाणपत्र रद्द गर्नु वा सत्र अन्त्य गर्नु कार्यान्वयनमा स्पष्ट नीति चाहिने पहुँच निर्णय हुन्; ती SA टाइमरबाट आउँदैनन्, र पहिले नै अधिकार गुमाइसकेको पहिचानका लागि पनि कुञ्जी नवीकरण शान्त रूपमा जारी रहन सक्छ।

प्रत्येक सुरुङका लागि के अभिलेख गर्ने

कुन संगठनले नवीकरण सुरु गर्यो, पुराना र नयाँ पहिचानकर्ता, कुन थ्रेसहोल्ड सक्रिय भयो र ओभरल्यापभित्र प्रतिस्थापन पूरा भयो कि भएन अभिलेख गर्नुहोस्। ती चार क्षेत्रले कुञ्जी नवीकरणको समस्या अवरोध बन्नुअघि नै देखिने बनाउँछन्, र आक्रामक नीतिलाई असफल नीतिबाट अलग गर्छन्।

पहुँच हटाउने तालिका त्यो अभिलेखभित्र नभई छेउमा राख्नुहोस्। क्रिप्टोग्राफिक सरसफाइ र पहिचान नीति फरक नियन्त्रण हुन्, र समयमै कुञ्जी घुमाउने सुरुङले पनि कसैले राख्न नचाहेको सत्र राखिरहन सक्छ।