पुनः कुञ्जी, पुनः जडान वा पुनः प्रमाणीकरण: तपाईंलाई कुन चाहिन्छ?

घण्टौंदेखि चलिरहेको सत्रले सधैं उही कुञ्जीहरू राख्दैन, र यो जानाजान हो। तीन फरक घटनालाई कुञ्जी रोटेसन भनिन्छ: विद्यमान एसोसिएसनअन्तर्गत नयाँ सत्र सामग्री, जडानको पूर्ण पुनर्निर्माण, र पहिचान जाँचको पुनरावृत्ति। प्रत्येकको ट्रिगर, लागत र असफलताको हस्ताक्षर फरक छ। गलत छान्यो भने सुधारले केही गर्दैन वा बिनाकारण टनेल झारिदिन्छ।

निर्णय कुन तह साँच्चै सकिएको छ भन्नेमा निर्भर छ।

रोटेसन भनिने तीन कार्यहरू

पुनः कुञ्जीले विद्यमान नियन्त्रण सम्बन्धभित्र प्रोटोकलले निर्धारण गरेको संयन्त्र प्रयोग गरी नयाँ ट्राफिक कुञ्जी बनाउँछ। IKEv2 ले यो नयाँ चाइल्ड सुरक्षा एसोसिएसनले, TLS 1.3 ले कुञ्जी अद्यावधिक सन्देशले, र WireGuard ले आफ्नो समय वा सन्देश सीमा पुग्दा नयाँ ह्यान्डशेकले गर्छ। टनेलका ठेगाना र प्रमाणित पहिचान जहाँ थिए त्यहीँ रहन्छन्।

पुनः जडानले जडान त्यागेर सुरुदेखि फेरि बनाउँछ, जसले ठेगाना बाँडफाँट, रुटिङ स्थापना र पहिलो प्रयासका सबै वार्ता दोहोर्याउँछ।

पुनः प्रमाणीकरणले पहिचानको प्रमाण नै दोहोर्याउँछ, जसमा प्रमाणपत्र, प्रमाणीकरण विवरण वा दोस्रो कारक समावेश हुन सक्छ। उत्पादनअनुसार यो पुनः जडानसँग वा बिना हुन सक्छ।

नवीकरणमा प्रयोगकर्ताले के देख्छन्

पुनः कुञ्जी लगभग अदृश्य हुनुपर्छ। एसोसिएसन पहिचानकर्ता बदलिन्छन्, काउन्टर रिसेट हुन सक्छन्, र अनुप्रयोगहरूले आफ्ना सकेट राख्छन्; आदानप्रदानका क्रममा एक दिशामा छोटो रोक सामान्य हो। स्थिति सूचीमा नयाँ पहिचानकर्ता देख्नु खराबीको प्रमाण होइन। आदानप्रदानपछिको लग लाइनले त्यो पूरा भयो कि भएन भन्छ।

नवीकरणमा साँचो कटौती कुनै निश्चित ठाउँतिर संकेत गर्छ। प्रस्तावको मेल नखानु, म्याद सकिएको प्रमाणीकरण विवरण वा बाटो परिवर्तनले प्रत्येकले फरक लग लाइन बनाउँछ, र तीमध्ये एउटा मात्र आयुकाल मिलाएर सुधारिन्छ।

व्यवहारमा तीन कहाँ फरक पर्छन्

म्याद सकिएको एउटै कुरा कुञ्जी सामग्री हो भने पुनः कुञ्जी गर्नुहोस्। पियर ठेगाना, रुट वा NAT बाइन्डिङ बदलियो र प्याकेट अब आउँदैनन् भने पुनः जडान गर्नुहोस्। संस्थाले आवधिक पहिचान जाँच माग्छ भने त्यो पुनः प्रमाणीकरण हो र कुनै आयुकाल समायोजनले त्यसको ठाउँ लिन सक्दैन।

प्रोटोकलका पूर्वनिर्धारित मानमा प्रायः सही उत्तर हुन्छ। WireGuard ले कुनै प्रयोगकर्ता कार्यबिना समय र डेटा-परिमाण सीमापछि कुञ्जी बदल्छ; IKEv2 का आयुकाल प्रत्येक चाइल्ड एसोसिएसनका लागि वार्ता गरिन्छ; TLS आधारित टनेलले विद्यमान सत्रभित्रै कुञ्जी घुमाउँछ। बारम्बार आउने त्रुटि टार्न आयुकाल बढाउँदा असफलता सरिन्छ र कुञ्जी चुहिएमा जोखिम लामो हुन्छ।

लामो सत्रका लागि एउटा चेतावनी महत्त्वपूर्ण छ: केवल आवृत्तिले फर्वार्ड सिक्रेसी बनाउँदैन। यो गुण सत्र कुञ्जी दीर्घकालीन रहस्यसँग कसरी सम्बन्धित छन् र पुराना कुञ्जी नष्ट गरिन्छन् कि भन्नेमा निर्भर छ, जो सेटिङ नभई डिजाइन र कार्यान्वयनको प्रश्न हो।

पूर्वनिर्धारित मान छान्नुहोस्, त्यसपछि चरण लेख्नुहोस्

अभिलेखित आवश्यकताले अर्कै नभनेसम्म आपूर्तिकर्ताका पूर्वनिर्धारित मान राख्नुहोस्, र आयुकाल बदल्ने हो भने दुवै पियरमा बदल्नुहोस्। त्यसपछि प्रत्येक घटना कुन चरणसम्म पुग्यो लेख्नुहोस्, ताकि अर्को पटक त्यही ह्यान्डशेक बिन्दुसँग तुलना गर्न सकियोस्।

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

सुधारपछि नियन्त्रित नवीकरण गर्नुहोस् र नयाँ एसोसिएसनबाट ताजा अनुप्रयोग ट्राफिक पठाउनुहोस्। आफूलाई स्थापित भएको बताउने तर केही पनि अगाडि नपठाउने टनेल नै यो जाँचले समात्न खोजेको असफलता हो।