ਵਿਅਸਤ IPsec ਟਨਲ ਸਮੇਂ ਤੋਂ ਪਹਿਲਾਂ ਕੁੰਜੀ ਕਿਉਂ ਬਦਲਦਾ ਹੈ: ਸਮਾਂ ਬਨਾਮ ਆਇਤਨ ਸੀਮਾਵਾਂ

ਲਗਭਗ ਹਰ ਪੰਜਾਹ ਮਿੰਟ ਬਾਅਦ ਵਿਅਸਤ ਲਿੰਕ ਦੀ ਟਨਲ ਕੁਝ ਸਕਿੰਟਾਂ ਲਈ ਡਿੱਗਦੀ ਹੈ, ਅਤੇ ਪਹਿਲਾ ਸ਼ੱਕੀ ਘੜੀ ਹੈ। ਸੰਘ ਸਮਾਂ ਸੀਮਾ ’ਤੇ ਜਾਂ ਬਾਈਟ ਗਿਣਤੀ ’ਤੇ ਖ਼ਤਮ ਹੋ ਸਕਦੇ ਹਨ, ਅਤੇ ਜਿਹੜੀ ਸੀਮਾ ਪਹਿਲਾਂ ਆਉਂਦੀ ਹੈ ਉਹੀ ਉਨ੍ਹਾਂ ਨੂੰ ਸੇਵਾਮੁਕਤ ਕਰਦੀ ਹੈ। ਅਸਲ ਟ੍ਰੈਫ਼ਿਕ ਲੈ ਜਾਣ ਵਾਲੇ ਲਿੰਕ ’ਤੇ ਆਇਤਨ ਸੀਮਾ ਨਿਰਧਾਰਿਤ ਘੰਟਾ ਪੂਰਾ ਹੋਣ ਤੋਂ ਬਹੁਤ ਪਹਿਲਾਂ ਸਰਗਰਮ ਹੋ ਸਕਦੀ ਹੈ। ਇਸ ਲਈ «ਬਹੁਤ ਜਲਦੀ» ਘੜੀ ਬਾਰੇ ਬਿਆਨ ਹੈ, ਸੰਘ ਬਾਰੇ ਨਹੀਂ।

ਇੰਟਰਫ਼ੇਸ ਨਹੀਂ, ਸੰਘ ਜੋ ਗਿਣਦਾ ਹੈ ਉਹ ਗਿਣੋ

ਇੰਟਰਫ਼ੇਸ ਦਾ ਕੁੱਲ ਬਾਈਟ, ਡੈਸ਼ਬੋਰਡ ਦਾ ਸੰਯੁਕਤ ਥਰੂਪੁਟ ਅਤੇ ਸੰਘ ਦਾ ਆਪਣਾ ਕਾਊਂਟਰ ਤਿੰਨ ਵੱਖਰੀਆਂ ਸੰਖਿਆਵਾਂ ਹਨ, ਅਤੇ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਇੱਕ ਦੀ ਸੀਮਾ ਨਾਲ ਤੁਲਨਾ ਹੁੰਦੀ ਹੈ। ਆਉਣ ਵਾਲੇ ਅਤੇ ਜਾਣ ਵਾਲੇ ਸੰਘਾਂ ਨੂੰ ਉਨ੍ਹਾਂ ਦੇ ਪਛਾਣਕਰਤਿਆਂ ਸਮੇਤ ਵੱਖਰੇ ਦਰਜ ਕਰੋ, ਤਾਂ ਜੋ ਇੱਕ ਦਿਸ਼ਾ ਨੂੰ ਛੂਹਣ ਵਾਲਾ ਕੁੰਜੀ ਬਦਲਾਅ ਰਹੱਸ ਨਹੀਂ, ਦਿਸ਼ਾਤਮਕ ਘਟਨਾ ਵਜੋਂ ਦਿਸੇ। ਸੰਘ ਦਾ ਕਾਊਂਟਰ ਵੀ ਕੁੰਜੀ ਬਦਲਾਅ ’ਤੇ ਮੁੜ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ, ਇਸ ਲਈ ਇੰਟਰਫ਼ੇਸ ਤੋਂ ਲਿਆ ਕੁੱਲ ਵਧਦਾ ਹੈ ਜਦੋਂ ਕਿ ਮਹੱਤਵਪੂਰਨ ਮੁੱਲ ਰੀਸੈਟ ਹੁੰਦਾ ਹੈ।

ਗਣਨਾ ਇੱਕ ਵਾਰ ਕਰਨ ਯੋਗ ਹੈ ਤਾਂ ਜੋ ਪਰਿਮਾਣ ਦਾ ਕ੍ਰਮ ਮਨਮਾਨਾ ਲੱਗਣਾ ਬੰਦ ਹੋਵੇ। ਪ੍ਰਤੀ ਮਿੰਟ ਸਥਿਰ 128 ਮੇਬੀਬਾਈਟ ਦੀ ਦਰ ਨਾਲ ਖ਼ਰਚ ਹੁੰਦਾ ਇੱਕ ਗਿਬੀਬਾਈਟ ਦਾ ਗਿਣਿਆ ਬਜਟ ਅੱਠ ਮਿੰਟਾਂ ਵਿੱਚ ਖ਼ਤਮ ਹੋ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਇਹ ਇਕਾਈ ਬਦਲਾਅ ਹੈ, ਤੁਹਾਡੀ ਟਨਲ ਦਾ ਮਾਪ ਨਹੀਂ। ਜੇ ਨਤੀਜਾ ਸੰਖਿਆ ਸਮਾਂ ਸੀਮਾ ਤੋਂ ਬਹੁਤ ਹੇਠਾਂ ਹੈ, ਤਾਂ ਆਇਤਨ ਹੀ ਵਿਧੀ ਹੈ ਅਤੇ ਘੜੀ ਦੇਖਣ ਨਾਲ ਅੰਤਰਾਲ ਸਪੱਸ਼ਟ ਨਹੀਂ ਹੋਵੇਗਾ। ਜੇ ਉਹ ਬਹੁਤ ਉੱਪਰ ਹੈ, ਤਾਂ ਬਾਈਟ ਸੀਮਾ ਤੁਹਾਡਾ ਟ੍ਰਿਗਰ ਨਹੀਂ ਹੈ ਅਤੇ ਖੋਜ ਕਿਤੇ ਹੋਰ ਹੈ।

ਨਰਮ ਅਤੇ ਸਖ਼ਤ ਥ੍ਰੈਸ਼ਹੋਲਡ ਦੋ ਵੱਖਰੀਆਂ ਘਟਨਾਵਾਂ ਹਨ

ਸਖ਼ਤ ਸੀਮਾ ਸੰਘ ਖ਼ਤਮ ਕਰਨ ਤੋਂ ਬਹੁਤ ਪਹਿਲਾਂ ਨਰਮ ਥ੍ਰੈਸ਼ਹੋਲਡ ਬਦਲੀ ਮੰਗਦਾ ਹੈ, ਅਤੇ ਲਾਗੂਆਂ ਤੁਹਾਡੇ ਦੁਆਰਾ ਸੰਰਚਿਤ ਕੀਤੇ ਉੱਤੇ ਆਪਣੇ ਮਾਰਜਿਨ ਅਤੇ ਬੇਤਰਤੀਬੀਕਰਨ ਜੋੜਦੀਆਂ ਹਨ। ਇਸ ਲਈ ਦੇਖਿਆ ਗਿਆ ਅੰਤਰਾਲ ਲਗਭਗ ਕਦੇ ਵੀ ਗੋਲ ਸੰਖਿਆ ਨਹੀਂ ਹੁੰਦਾ। IPsec ਆਰਕੀਟੈਕਚਰ ਸਮੇਂ ਅਤੇ ਬਾਈਟ ਗਿਣਤੀ ਵਿੱਚ ਪ੍ਰਗਟ ਆਯੂ ਦਾ ਦੋ ਕਿਸਮਾਂ ਦੇ ਥ੍ਰੈਸ਼ਹੋਲਡ ਨਾਲ ਵਰਣਨ ਕਰਦਾ ਹੈ, ਅਤੇ ਪਹਿਲਾਂ ਖ਼ਤਮ ਹੋਣ ਵਾਲਾ ਲਾਗੂ ਹੁੰਦਾ ਹੈ। ਇੱਕ ਛਾਪੀ ਆਯੂ ਨੂੰ ਸਮਾਂ-ਸਾਰਣੀ ਮੰਨੋ ਤਾਂ ਮਾਰਜਿਨ ਜਿੰਨਾ ਗ਼ਲਤ ਹੋਵੋਗੇ।

ਪ੍ਰਭਾਵੀ ਨੀਤੀ ਫ਼ਾਈਲ ਦੀ ਸੰਖਿਆ ਤੋਂ ਅੰਦਾਜ਼ਾ ਲਾਉਣ ਦੀ ਥਾਂ ਚੱਲ ਰਹੀ ਸਥਿਤੀ ਤੋਂ ਪੜ੍ਹੋ, ਕਿਉਂਕਿ ਮਾਰਜਿਨ ਲਾਗੂ ਦਾ ਹੈ, ਤੁਹਾਡੇ ਇਰਾਦੇ ਦਾ ਨਹੀਂ। ਲੱਛਣ ਨੂੰ ਸ਼ਾਂਤ ਕਰਨ ਲਈ ਸੀਮਾਵਾਂ ਨੂੰ ਉਨ੍ਹਾਂ ਦੇ ਅਧਿਕਤਮ ਵੱਲ ਖਿੱਚਣ ਦੇ ਲਾਲਚ ਦਾ ਵਿਰੋਧ ਕਰੋ: ਸਮਾਂ-ਸਾਰਣੀ ਅਨੁਸਾਰ ਕੁੰਜੀ ਬਦਲਣ ਵਾਲੀ ਟਨਲ ਡਿਜ਼ਾਈਨ ਅਨੁਸਾਰ ਵਿਵਹਾਰ ਕਰ ਰਹੀ ਹੈ, ਅਤੇ ਲੰਮੀ ਆਯੂ ਘਟਨਾ ਨੂੰ ਸਿਰਫ਼ ਲੰਮਾ ਪਾਉਂਦੀ ਹੈ ਜਦੋਂ ਕਿ ਸਮਝੌਤਾ ਹੋਈ ਕੁੰਜੀ ਨੂੰ ਵਧੇਰੇ ਸਮਾਂ ਵਰਤੋਂਯੋਗ ਰੱਖਦੀ ਹੈ। ਜਦੋਂ ਬਦਲੀ ਆਪ ਅਸਫਲ ਹੁੰਦੀ ਹੈ, ਸੀਮਾ ਦੂਤ ਹੈ, ਦੋਸ਼ ਨਹੀਂ।

ਚੱਲ ਰਹੀ ਸਥਿਤੀ ਤੋਂ ਪ੍ਰਭਾਵੀ ਆਯੂ ਪੜ੍ਹੋ

strongSwan ’ਤੇ, swanctl --list-sas ਸੰਘ ਦਾ ਸਾਰ ਉਸ ਦੇ ਕੁੰਜੀ-ਬਦਲਾਅ ਅਤੇ ਆਯੂ ਸਮਿਆਂ ਸਮੇਤ ਛਾਪਦਾ ਹੈ, ਇਸ ਲਈ ਡੈਮਨ ਜੋ ਮੁੱਲ ਲਾਗੂ ਕਰਨਾ ਚਾਹੁੰਦਾ ਹੈ ਉਹ ਅੰਦਾਜ਼ੇ ਬਿਨਾਂ ਦਿਸਦਾ ਹੈ। ਡੈਮਨ ਦ੍ਰਿਸ਼ ਤੋਂ ਬਿਨਾਂ Linux ਹੋਸਟ ’ਤੇ, ip xfrm state ਸੰਰਚਿਤ ਨਰਮ ਅਤੇ ਸਖ਼ਤ ਬਾਈਟ ਤੇ ਪੈਕੇਟ ਸੀਮਾਵਾਂ ਮੌਜੂਦਾ ਕਾਊਂਟਰਾਂ ਦੇ ਕੋਲ ਦੱਸਦਾ ਹੈ। ਉਹ ਦੋ ਪੜ੍ਹਤਾਂ ਵੱਖਰੇ ਸਵਾਲਾਂ ਦੇ ਜਵਾਬ ਦਿੰਦੀਆਂ ਹਨ ਅਤੇ ਦੋਵੇਂ ਟਿਕਟ ਵਿੱਚ ਰੱਖਣ ਯੋਗ ਹਨ।

swanctl --list-sas
ip -s xfrm state

ਛਾਪੀ ਨਰਮ ਥ੍ਰੈਸ਼ਹੋਲਡ ਦੀ ਤੁਲਨਾ ਤੁਹਾਡੇ ਮਾਪੇ ਅੰਤਰਾਲ ਨਾਲ ਕਰੋ, ਕਿਉਂਕਿ ਸਖ਼ਤ ਸੀਮਾ ਤੋਂ ਹੇਠਾਂ ਮਾਰਜਿਨ ਨਾਲ ਸ਼ੁਰੂ ਹੋਣ ਵਾਲੀ ਬਦਲੀ ਆਮ ਹੈ ਅਤੇ ਕਦੇ ਸ਼ੁਰੂ ਨ ਹੋਣ ਵਾਲੀ ਨਹੀਂ। ਜੇ ਡੈਮਨ ਇੱਕ ਆਯੂ ਦਿਖਾਵੇ ਅਤੇ ਕਰਨਲ ਸਥਿਤੀ ਦੂਜੀ, ਤਾਂ ਤੁਸੀਂ ਅਸਹਿਮਤ ਦੋ ਪਰਤਾਂ ਦੇਖ ਰਹੇ ਹੋ, ਅਤੇ ਇਹ ਆਪ ਹੀ ਖੋਜ ਹੈ।

SA ਨੂੰ ਬਦਲਣ ਵਾਲੇ ਵਟਾਂਦਰੇ ’ਤੇ ਨਜ਼ਰ ਰੱਖੋ

ਤਿੰਨ ਨਵੀਨੀਕਰਨ ਵੱਖਰੇ ਰੱਖੋ, ਕਿਉਂਕਿ ਉਹ ਵੱਖਰੇ ਤਰੀਕਿਆਂ ਨਾਲ ਅਸਫਲ ਹੁੰਦੇ ਹਨ: IKE SA ਕੁੰਜੀ ਬਦਲਾਅ ਨਵਾਂ ਨਿਯੰਤਰਣ ਸੰਘ ਬਣਾਉਂਦਾ ਹੈ, CHILD SA ਕੁੰਜੀ ਬਦਲਾਅ ਡੇਟਾ ਸੰਘ ਬਦਲਦਾ ਹੈ, ਅਤੇ ਮੁੜ-ਪ੍ਰਮਾਣਿਕਤਾ ਪਛਾਣ ਵਟਾਂਦਰਾ ਦੁਹਰਾਉਂਦੀ ਹੈ। IKEv2 ਵਿੱਚ ਹਰ ਸਾਥੀ ਇੱਕ ਸਾਂਝੇ ਮੁੱਲ ’ਤੇ ਗੱਲਬਾਤ ਕਰਨ ਦੀ ਥਾਂ ਆਪਣੀ ਆਯੂ ਖ਼ੁਦ ਤੈਅ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਤੁਹਾਡੇ ਵੱਲੋਂ ਨਾ ਸ਼ੁਰੂ ਕੀਤਾ ਵਟਾਂਦਰਾ ਆਮ ਹੈ। perfect forward secrecy ਦੀ ਅਸੰਗਤੀ ਨਵੀਂ child SA ਦੇ ਠੀਕ ਕੁੰਜੀ-ਬਦਲਾਅ ਅੰਤਰਾਲ ’ਤੇ ਮਰਨ ਦਾ ਵਾਰ-ਵਾਰ ਕਾਰਨ ਹੈ, ਅਤੇ ਜਦ ਤੱਕ ਕੋਈ ਪ੍ਰਸਤਾਵ ਨਹੀਂ ਪੜ੍ਹਦਾ ਇਹ ਠੀਕ ਟਾਈਮਰ ਖਰਾਬੀ ਵਾਂਗ ਦਿਸਦੀ ਹੈ।

ਪੁਰਾਣੇ ਸੰਘ ਦੀ ਤੁਲਨਾ ਉਸ ਦੇ ਉੱਤਰਾਧਿਕਾਰੀ ਅਤੇ ਉਸ ਨੂੰ ਪੈਦਾ ਕਰਨ ਵਾਲੇ ਵਟਾਂਦਰੇ ਨਾਲ ਕਰੋ। ਪਛਾਣਕਰਤਾ ਦਾ ਗਾਇਬ ਹੋਣਾ ਨਿਯਮਿਤ ਬਦਲੀ ਹੈ; ਰੱਦ ਕੀਤਾ ਪ੍ਰਸਤਾਵ, ਗੈਰਹਾਜ਼ਰ ਜਵਾਬ ਜਾਂ ਵਰਤੋਂਯੋਗ ਉੱਤਰਾਧਿਕਾਰੀ ਸਥਿਤੀ ਦੀ ਗੈਰਹਾਜ਼ਰੀ ਵੱਖਰੇ ਮਾਲਕ ਵਾਲੀ ਵੱਖਰੀ ਘਟਨਾ ਹੈ। ਕੁਝ ਵੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਉਹ ਸਬੂਤ ਸੰਭਾਲੋ, ਕਿਉਂਕਿ ਸੰਸਕਰਣ-ਵਿਸ਼ੇਸ਼ ਨੋਟ, ਸਾਥੀ ਦਾ ਪ੍ਰਸਤਾਵ ਅਤੇ ਗੱਲਬਾਤ ਕੀਤੀ ਆਯੂ ਹੀ ਮਾਮਲੇ ਨੂੰ ਇੱਕ ਹਫ਼ਤੇ ਬਾਅਦ, ਲੌਗ ਘੁੰਮਣ ਤੋਂ ਬਾਅਦ ਪੜ੍ਹਨਯੋਗ ਬਣਾਉਂਦੇ ਹਨ।

ਲੁਕਾਉਣ ਦੀ ਥਾਂ ਨਵੀਨੀਕਰਨ ਸਾਬਤ ਕਰੋ

ਤੁਹਾਡੇ ਨਾਲ ਹੋਣ ਵਾਲੇ ਨਵੀਨੀਕਰਨ ਦੀ ਥਾਂ ਤੁਹਾਡੇ ਵੱਲੋਂ ਯੋਜਿਤ ਨਵੀਨੀਕਰਨ ਵਿੱਚੋਂ ਲੰਘ ਕੇ ਤੈਨਾਤੀ ਸਵੀਕਾਰ ਕਰੋ। ਰੱਖ-ਰਖਾਅ ਵਿੰਡੋ ਅੰਦਰ ਇੱਕ ਵਾਰ ਕੁੰਜੀ ਬਦਲਾਅ ਜ਼ਬਰਦਸਤੀ ਕਰੋ, ਫਿਰ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਬਾਅਦ ਵਿੱਚ ਦੋਵੇਂ ਦਿਸ਼ਾਵਾਂ ਡੇਟਾ ਲੈ ਜਾਂਦੀਆਂ ਹਨ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਦਾ ਨਤੀਜਾ ਅਟੱਲ ਹੈ, ਸਿਰਫ਼ ਟਨਲ ਸੂਚਕ ਹਰਾ ਹੋਣਾ ਨਹੀਂ। ਕਿਹੜੀ ਸੀਮਾ ਸਰਗਰਮ ਹੋਈ ਅਤੇ ਕਿਹੜਾ ਵਟਾਂਦਰਾ ਸ਼ਾਮਲ ਸੀ ਦਰਜ ਕਰੋ।

ਅਜਿਹੀ ਸ਼ਕਲ ਦਾ ਸਿੱਟਾ ਜਾਂਚ ਵਿੱਚ ਟਿਕਦਾ ਹੈ, ਪਰ ਜੋੜਨ ਨੂੰ ਇੱਕ ਦੁਪਹਿਰ ਸ਼ਾਂਤ ਦਿਖਾਉਣ ਵਾਲਾ ਬਦਲਿਆ ਟਾਈਮਰ ਮੁੱਲ ਨਹੀਂ ਟਿਕਦਾ। ਜੇ ਸਿਰਫ਼ ਟਾਈਮਰ ਹਿਲਿਆ, ਤਾਂ ਸਬੂਤ ਵੀ ਉਸ ਨਾਲ ਹਿਲਿਆ।