IKEv2 ਵਿੱਚ SA ਜੀਵਨਕਾਲ: ਨਰਮ ਕੁੰਜੀ ਨਵੀਨੀਕਰਨ, ਸਖ਼ਤ ਸਮਾਪਤੀ, ਵੱਖਰਾ ਮੁੜ-ਪ੍ਰਮਾਣੀਕਰਨ

ਟਾਈਮਰ ਤੈਅ ਕਰਦੇ ਹਨ ਕਿ ਸੁਰੰਗ ਦੀਆਂ ਕੁੰਜੀਆਂ ਕਦੋਂ ਬਦਲੀਆਂ ਜਾਂਦੀਆਂ ਹਨ, ਅਤੇ ਸ਼ਾਮਲ ਦੋ ਥ੍ਰੈਸ਼ਹੋਲਡ ਅਕਸਰ ਇੱਕ ਵਜੋਂ ਪੜ੍ਹੇ ਜਾਂਦੇ ਹਨ। ਉਹ ਇੱਕ ਨਹੀਂ ਹਨ। ਨਰਮ ਜੀਵਨਕਾਲ ਸਾਥੀ ਨੂੰ ਕਹਿੰਦਾ ਹੈ ਕਿ ਮੌਜੂਦਾ ਸੁਰੱਖਿਆ ਸੰਗਠਨ ਅਜੇ ਵੀ ਟ੍ਰੈਫਿਕ ਢੋਂਦਾ ਹੋਇਆ ਬਦਲੀ ਬਣਾਏ, ਅਤੇ ਸਖ਼ਤ ਜੀਵਨਕਾਲ ਉਹ ਸਮਾਂ-ਸੀਮਾ ਹੈ ਜਿਸ ਤੋਂ ਬਾਅਦ ਬਦਲੀ ਕੰਮ ਕਰੇ ਜਾਂ ਨਾ ਕਰੇ, ਪੁਰਾਣਾ ਸੰਗਠਨ ਚਲਾ ਜਾਂਦਾ ਹੈ। ਉਹਨਾਂ ਵਿਚਕਾਰ ਪੈਕਟ ਖਾਲੀ ਥਾਂ ਵਿੱਚ ਨਾ ਡਿੱਗਣ ਲਈ ਇੱਕ ਓਵਰਲੈਪ ਵਿੰਡੋ ਹੈ।

ਜੀਵਨਕਾਲ ਅਸਲ ਵਿੱਚ ਕੀ ਸੀਮਿਤ ਕਰਦਾ ਹੈ

IPsec ਸੁਰੱਖਿਆ ਸੰਗਠਨ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਸਥਿਤੀ ਦਾ ਬੰਡਲ ਹੈ: ਇੱਕ ਦਿਸ਼ਾ ਲਈ ਕੁੰਜੀਆਂ, ਸੁਰੱਖਿਆ ਪੈਰਾਮੀਟਰ ਸੂਚਕਾਂਕ, ਐਲਗੋਰਿਦਮ ਸੈੱਟ ਅਤੇ ਚੋਣਕਰਤਾ। ਜੀਵਨਕਾਲ ਸੀਮਿਤ ਕਰਦਾ ਹੈ ਕਿ ਉਸ ਸਥਿਤੀ ਦੀ ਕਿੰਨਾ ਚਿਰ ਵਰਤੋਂ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ, ਜੋ ਸੀਮਿਤ ਕਰਦਾ ਹੈ ਕਿ ਇੱਕ ਕੁੰਜੀ ਕਿੰਨਾ ਟ੍ਰੈਫਿਕ ਸੁਰੱਖਿਅਤ ਰੱਖਦੀ ਹੈ। ਇਹ ਕੁੰਜੀ ਲਈ ਰੋਕਥਾਮ ਉਪਾਅ ਹੈ, ਵਰਤੋਂਕਾਰ ਸੈਸ਼ਨ ਕਿੰਨਾ ਚਿਰ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਦਾ ਬਿਆਨ ਨਹੀਂ।

IKE ਨਿਯੰਤਰਣ ਸੰਗਠਨਾਂ ਦੀਆਂ ਆਪਣੀਆਂ ਕੁੰਜੀਆਂ ਅਤੇ ਆਪਣੇ ਜੀਵਨਕਾਲ ਹੁੰਦੇ ਹਨ, ਜੋ ਡੇਟਾ ਢੋਣ ਵਾਲੇ ਚਾਈਲਡ ਸੰਗਠਨਾਂ ਤੋਂ ਵੱਖਰੇ ਹਨ। ਇੱਥੇ ਹੀ ਲੋਕ ਦੋ ਸਮਾਂ-ਸਾਰਣੀਆਂ ਮਿਲਾ ਦਿੰਦੇ ਹਨ।

ਨਰਮ ਬਦਲੀ ਸ਼ੁਰੂ ਕਰਦਾ ਹੈ, ਸਖ਼ਤ ਪੁਰਾਣੀ ਸਥਿਤੀ ਖ਼ਤਮ ਕਰਦਾ ਹੈ

ਜਦੋਂ ਨਰਮ ਥ੍ਰੈਸ਼ਹੋਲਡ ਨੇੜੇ ਆਉਂਦਾ ਹੈ, ਸਾਥੀ ਬਦਲੀ ਸ਼ੁਰੂ ਕਰਦਾ ਹੈ। ਲਾਗੂਕਰਨ ਆਮ ਤੌਰ 'ਤੇ ਜਲਦੀ ਸਰਗਰਮ ਹੁੰਦੇ ਹਨ ਅਤੇ ਪਲ ਨੂੰ ਬੇਤਰਤੀਬ ਕਰਦੇ ਹਨ, ਤਾਂ ਜੋ ਸੈਂਕੜੇ ਸੁਰੰਗਾਂ ਵਾਲਾ ਮੁੱਖ ਨੋਡ ਸਾਰੀਆਂ ਕੁੰਜੀਆਂ ਇਕੱਠੀਆਂ ਨਵੀਨੀਕਰਨ ਨਾ ਕਰੇ। IKEv2 ਵਿੱਚ ਬਦਲੀ ਨਵੇਂ nonce ਢੋਣ ਵਾਲਾ CREATE_CHILD_SA ਵਟਾਂਦਰਾ ਹੈ, ਨਾਲ ਹੀ ਪੂਰਨ ਅੱਗੇ ਗੋਪਨੀਯਤਾ ਸੰਰਚਿਤ ਹੋਣ 'ਤੇ Diffie-Hellman ਵਟਾਂਦਰਾ ਵੀ। ਨਤੀਜਾ ਨਵੀਆਂ ਕੁੰਜੀਆਂ ਵਾਲੀ ਨਵੀਂ ਜੋੜੀ ਸੰਗਠਨਾਂ ਦਾ ਹੈ।

ਓਵਰਲੈਪ ਮਹੱਤਵਪੂਰਨ ਹੈ। ਥੋੜ੍ਹੇ ਸਮੇਂ ਲਈ ਸਾਥੀ ਪੁਰਾਣਾ ਅਤੇ ਨਵਾਂ ਸੰਗਠਨ ਦੋਵੇਂ ਰੱਖ ਸਕਦਾ ਹੈ, ਅਤੇ ਕੈਪਚਰ ਪਛਾਣਕਰਤਿਆਂ ਦੇ ਦੋ ਸੈੱਟ ਦਿਖਾ ਸਕਦਾ ਹੈ। ਇਹ ਵਿਧੀ ਦੇ ਕੰਮ ਕਰਨ ਦਾ ਲੱਛਣ ਹੈ, ਖਰਾਬੀ ਨਹੀਂ।

ਸਖ਼ਤ ਥ੍ਰੈਸ਼ਹੋਲਡ ਮਾਫ਼ ਨਹੀਂ ਕਰਦਾ। ਜੇ ਉਸ ਵੇਲੇ ਤੱਕ ਬਦਲੀ ਪੂਰੀ ਨਾ ਹੋਵੇ, ਪੁਰਾਣਾ ਸੰਗਠਨ ਸੇਵਾਮੁਕਤ ਕਰਨਾ ਪਵੇਗਾ ਅਤੇ ਸਿਰਫ਼ ਉਸੇ ਨਾਲ ਸੁਰੱਖਿਅਤ ਟ੍ਰੈਫਿਕ ਰੁਕ ਜਾਂਦਾ ਹੈ। ਸਖ਼ਤ ਸਮਾਪਤੀ ਤੱਕ ਚੱਲਣ ਵਾਲੇ ਵਾਰ-ਵਾਰ ਅਸਫਲ ਕੁੰਜੀ ਨਵੀਨੀਕਰਨ ਜਾਂਚ ਲਈ ਕਾਰਜਸ਼ੀਲ ਸੰਕੇਤ ਹਨ, ਕਿਉਂਕਿ ਸੁਰੰਗ ਹਰ ਚੱਕਰ ਵਿੱਚ ਇੱਕ ਸਮਾਂ-ਸੀਮਾ 'ਤੇ ਟਿਕੀ ਹੁੰਦੀ ਹੈ।

ਵਰਤੋਂ ਸੀਮਾਵਾਂ ਕਿਸੇ ਵੀ ਘੜੀ ਤੋਂ ਪਹਿਲਾਂ ਲਾਗੂ ਹੋ ਸਕਦੀਆਂ ਹਨ

ਸਮਾਂ ਇੱਕੋ ਇੱਕ ਸੀਮਾ ਨਹੀਂ। ਲਾਗੂਕਰਨ ਇੱਕ ਕੁੰਜੀ ਨਾਲ ਸੁਰੱਖਿਅਤ ਬਾਈਟ ਜਾਂ ਪੈਕਟ ਸੀਮਿਤ ਕਰ ਸਕਦੇ ਹਨ, ਅਤੇ ਰੁੱਝੀ ਸੁਰੰਗ ਕਈ ਘੰਟਿਆਂ ਦੇ ਟਾਈਮਰ ਤੋਂ ਬਹੁਤ ਪਹਿਲਾਂ ਵਰਤੋਂ ਸੀਮਾ 'ਤੇ ਪਹੁੰਚ ਜਾਵੇਗੀ। strongSwan ਸਮਾਂ, ਬਾਈਟ ਅਤੇ ਪੈਕਟ ਲਈ ਵੱਖਰੀਆਂ ਜੀਵਨਕਾਲ ਅਤੇ ਮਾਰਜਿਨ ਸੈਟਿੰਗਾਂ ਦਿੰਦਾ ਹੈ, ਭਾਵ ਪ੍ਰਭਾਵੀ ਨਵੀਨੀਕਰਨ ਬਿੰਦੂ ਉਹ ਥ੍ਰੈਸ਼ਹੋਲਡ ਹੈ ਜੋ ਪਹਿਲਾਂ ਆਵੇ, ਸੰਰਚਿਤ ਮਾਰਜਿਨ ਘਟਾ ਕੇ।

ਜਦੋਂ ਸੁਰੰਗ ਆਪਣੇ ਸੰਰਚਿਤ ਘੰਟਿਆਂ ਦੇ ਸੰਕੇਤ ਤੋਂ ਬਹੁਤ ਵੱਧ ਵਾਰ ਨਵੀਨੀਕਰਨ ਹੁੰਦੀ ਹੈ, ਘੜੀ ਨੂੰ ਦੋਸ਼ ਦੇਣ ਤੋਂ ਪਹਿਲਾਂ ਬਾਈਟ ਅਤੇ ਪੈਕਟ ਸੀਮਾਵਾਂ ਜਾਂਚੋ। ਇੱਕੋ ਸਮਾਂ ਸੈਟਿੰਗਾਂ ਵਾਲੀ ਸੰਤ੍ਰਿਪਤ ਲਿੰਕ ਅਤੇ ਨਿਸ਼ਕਿਰਿਆ ਲਿੰਕ ਦੀ ਕੁੰਜੀ ਨਵੀਨੀਕਰਨ ਦਰ ਸਪਸ਼ਟ ਰੂਪ ਵਿੱਚ ਵੱਖਰੀ ਹੋਵੇਗੀ, ਅਤੇ ਇਹਨਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਇੱਕ ਟਾਈਮਰ ਦੀ ਪਾਲਣਾ ਕਰਦੀ ਹੈ।

ਹਰ ਸਾਥੀ ਆਪਣੀ ਨੀਤੀ ਲਾਗੂ ਕਰਦਾ ਹੈ

IKEv2 ਇੱਕੋ ਜਿਹੀ ਜੀਵਨਕਾਲ 'ਤੇ ਗੱਲਬਾਤ ਨਹੀਂ ਕਰਦਾ ਜੋ ਦੋਵੇਂ ਸਾਥੀਆਂ ਨੂੰ ਇੱਕੋ ਜਿਹਾ ਦਿਖਾਉਣਾ ਪਵੇ। ਹਰ ਧਿਰ ਆਪਣੀ ਸਥਾਨਕ ਨੀਤੀ ਲਾਗੂ ਕਰਦੀ ਹੈ ਅਤੇ ਆਪਣੀ ਸੀਮਾ ਨੇੜੇ ਆਉਣ 'ਤੇ ਬਦਲੀ ਸ਼ੁਰੂ ਕਰ ਸਕਦੀ ਹੈ, ਜਿਵੇਂ RFC 7296 ਭਾਗ 2.8 ਵਿੱਚ ਵਰਣਨ ਕੀਤਾ ਗਿਆ ਹੈ। ਇਸ ਲਈ ਦੋ ਸਾਥੀਆਂ ਦੇ ਸੰਰਚਿਤ ਘੰਟਿਆਂ ਵਿੱਚ ਅੰਤਰ ਆਪਣੇ ਆਪ ਖਰਾਬੀ ਨਹੀਂ, ਹਾਲਾਂਕਿ ਬਹੁਤ ਵੱਖਰੇ ਮੁੱਲ ਹਲਚਲ ਪੈਦਾ ਕਰ ਸਕਦੇ ਹਨ ਜੇ ਇੱਕ ਧਿਰ ਲਗਾਤਾਰ ਉਹ ਸਥਿਤੀ ਬਦਲਦੀ ਰਹੇ ਜੋ ਦੂਜੇ ਨੇ ਹੁਣੇ ਸਥਾਪਿਤ ਕੀਤੀ ਹੈ।

ਤਾਲਮੇਲ ਦਾ ਅਰਥ ਹੈ ਅਨੁਕੂਲ ਵਿਵਹਾਰ: ਵਟਾਂਦਰੇ ਲਈ ਕਾਫ਼ੀ ਲੰਬੀਆਂ ਓਵਰਲੈਪ ਵਿੰਡੋਆਂ, ਮੁੜ ਕੋਸ਼ਿਸ਼ ਲਈ ਥਾਂ ਛੱਡਣ ਵਾਲੇ ਮਾਰਜਿਨ, ਅਤੇ ਨਿਗਰਾਨੀ ਜੋ ਦਿਖਾਵੇ ਕਿ ਕਿਹੜੀ ਧਿਰ ਨੇ ਹਰ ਨਵੀਨੀਕਰਨ ਸ਼ੁਰੂ ਕੀਤਾ।

ਕੁੰਜੀ ਨਵੀਨੀਕਰਨ ਮੁੜ-ਪ੍ਰਮਾਣੀਕਰਨ ਨਹੀਂ ਹੈ

ਕੁੰਜੀ ਨਵੀਨੀਕਰਨ ਮੌਜੂਦਾ ਪ੍ਰਮਾਣਿਤ ਸਬੰਧ ਦੇ ਅਧੀਨ ਕੁੰਜੀਆਂ ਤਾਜ਼ਾ ਕਰਦਾ ਹੈ। ਮੁੜ-ਪ੍ਰਮਾਣੀਕਰਨ ਪਛਾਣ ਜਾਂਚ ਦੁਹਰਾਉਂਦਾ ਹੈ, ਚਾਹੇ ਉਹ ਪ੍ਰਮਾਣ ਪੱਤਰ ਵਟਾਂਦਰਾ ਹੋਵੇ ਜਾਂ EAP ਗੱਲਬਾਤ। ਦੋਵੇਂ ਵੱਖਰੀਆਂ ਸਮਾਂ-ਸਾਰਣੀਆਂ 'ਤੇ ਚੱਲਦੇ ਹਨ ਅਤੇ ਸਫਲ ਨਵੀਨੀਕਰਨ ਇਸ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ ਕਿ ਖਾਤੇ ਨੂੰ ਅਜੇ ਵੀ ਪਹੁੰਚ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ ਜਾਂ ਨਹੀਂ।

ਇਹ ਅੰਤਰ ਰੱਦ ਕਰਨ ਲਈ ਮਹੱਤਵਪੂਰਨ ਹੈ। ਖਾਤਾ ਅਕਿਰਿਆਸ਼ੀਲ ਕਰਨਾ, ਪ੍ਰਮਾਣ ਪੱਤਰ ਰੱਦ ਕਰਨਾ ਜਾਂ ਸੈਸ਼ਨ ਖ਼ਤਮ ਕਰਨਾ ਪਹੁੰਚ ਫ਼ੈਸਲੇ ਹਨ ਜਿਨ੍ਹਾਂ ਲਈ ਲਾਗੂਕਰਨ ਵਿੱਚ ਸਪਸ਼ਟ ਨੀਤੀ ਚਾਹੀਦੀ ਹੈ; ਇਹ SA ਟਾਈਮਰ ਤੋਂ ਨਹੀਂ ਆਉਂਦੇ, ਅਤੇ ਕੁੰਜੀ ਨਵੀਨੀਕਰਨ ਪਹਿਲਾਂ ਹੀ ਅਧਿਕਾਰ ਗੁਆ ਚੁੱਕੀ ਪਛਾਣ ਲਈ ਵੀ ਸ਼ਾਂਤੀ ਨਾਲ ਜਾਰੀ ਰਹਿ ਸਕਦਾ ਹੈ।

ਹਰ ਸੁਰੰਗ ਲਈ ਕੀ ਦਰਜ ਕਰਨਾ ਹੈ

ਦਰਜ ਕਰੋ ਕਿ ਕਿਹੜੇ ਸੰਗਠਨ ਨੇ ਨਵੀਨੀਕਰਨ ਸ਼ੁਰੂ ਕੀਤਾ, ਪੁਰਾਣੇ ਅਤੇ ਨਵੇਂ ਪਛਾਣਕਰਤਾ, ਕਿਹੜਾ ਥ੍ਰੈਸ਼ਹੋਲਡ ਲਾਗੂ ਹੋਇਆ ਅਤੇ ਕੀ ਓਵਰਲੈਪ ਦੇ ਅੰਦਰ ਬਦਲੀ ਪੂਰੀ ਹੋਈ। ਉਹ ਚਾਰ ਖੇਤਰ ਕੁੰਜੀ ਨਵੀਨੀਕਰਨ ਦੀ ਸਮੱਸਿਆ ਨੂੰ ਰੁਕਾਵਟ ਬਣਨ ਤੋਂ ਪਹਿਲਾਂ ਦਿਖਣਯੋਗ ਬਣਾਉਂਦੇ ਹਨ, ਅਤੇ ਹਮਲਾਵਰ ਨੀਤੀ ਨੂੰ ਅਸਫਲ ਨੀਤੀ ਤੋਂ ਵੱਖ ਕਰਦੇ ਹਨ।

ਪਹੁੰਚ ਹਟਾਉਣ ਦੀ ਸਮਾਂ-ਸਾਰਣੀ ਉਸ ਰਿਕਾਰਡ ਦੇ ਅੰਦਰ ਨਹੀਂ, ਸਗੋਂ ਨਾਲ ਰੱਖੋ। ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਸਫ਼ਾਈ ਅਤੇ ਪਛਾਣ ਨੀਤੀ ਵੱਖਰੇ ਨਿਯੰਤਰਣ ਹਨ, ਅਤੇ ਸਮੇਂ ਸਿਰ ਕੁੰਜੀਆਂ ਘੁਮਾਉਣ ਵਾਲੀ ਸੁਰੰਗ ਵੀ ਕਿਸੇ ਦਾ ਰੱਖਣ ਦਾ ਇਰਾਦਾ ਨਾ ਹੋਣ ਵਾਲਾ ਸੈਸ਼ਨ ਰੱਖ ਸਕਦੀ ਹੈ।