ਦੁਬਾਰਾ ਕੁੰਜੀ, ਦੁਬਾਰਾ ਕਨੈਕਟ ਜਾਂ ਦੁਬਾਰਾ ਪ੍ਰਮਾਣਿਕਤਾ: ਤੁਹਾਨੂੰ ਕਿਹੜਾ ਚਾਹੀਦਾ ਹੈ?

ਘੰਟਿਆਂ ਤੋਂ ਚੱਲ ਰਿਹਾ ਸੈਸ਼ਨ ਹਮੇਸ਼ਾ ਉਹੀ ਕੁੰਜੀਆਂ ਨਹੀਂ ਰੱਖੇਗਾ, ਅਤੇ ਇਹ ਜਾਣ-ਬੁੱਝ ਕੇ ਹੈ। ਤਿੰਨ ਵੱਖਰੀਆਂ ਘਟਨਾਵਾਂ ਨੂੰ ਕੁੰਜੀ ਰੋਟੇਸ਼ਨ ਕਿਹਾ ਜਾਂਦਾ ਹੈ: ਮੌਜੂਦਾ ਐਸੋਸੀਏਸ਼ਨ ਹੇਠ ਨਵੀਂ ਸੈਸ਼ਨ ਸਮੱਗਰੀ, ਕਨੈਕਸ਼ਨ ਦਾ ਪੂਰਾ ਮੁੜ-ਨਿਰਮਾਣ, ਅਤੇ ਪਛਾਣ ਜਾਂਚ ਦੀ ਦੁਹਰਾਈ। ਹਰੇਕ ਦਾ ਟ੍ਰਿਗਰ, ਲਾਗਤ ਅਤੇ ਅਸਫਲਤਾ ਦਾ ਨਿਸ਼ਾਨ ਵੱਖਰਾ ਹੈ। ਗਲਤ ਚੁਣਿਆ ਤਾਂ ਸੁਧਾਰ ਜਾਂ ਤਾਂ ਕੁਝ ਨਹੀਂ ਕਰੇਗਾ ਜਾਂ ਬਿਨਾਂ ਕਾਰਨ ਟਨਲ ਹੇਠਾਂ ਲਾਹ ਦੇਵੇਗਾ।

ਫੈਸਲਾ ਇਸ ਗੱਲ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ ਕਿ ਅਸਲ ਵਿੱਚ ਕਿਹੜੀ ਪਰਤ ਖਤਮ ਹੋਈ ਹੈ।

ਰੋਟੇਸ਼ਨ ਕਹੀਆਂ ਜਾਣ ਵਾਲੀਆਂ ਤਿੰਨ ਕਾਰਵਾਈਆਂ

ਦੁਬਾਰਾ ਕੁੰਜੀ ਮੌਜੂਦਾ ਨਿਯੰਤਰਣ ਸੰਬੰਧ ਦੇ ਅੰਦਰ ਪ੍ਰੋਟੋਕੋਲ ਵੱਲੋਂ ਨਿਰਧਾਰਿਤ ਕੀਤੀ ਵਿਧੀ ਵਰਤ ਕੇ ਨਵੀਆਂ ਟ੍ਰੈਫਿਕ ਕੁੰਜੀਆਂ ਬਣਾਉਂਦੀ ਹੈ। IKEv2 ਇਹ ਨਵੀਂ ਚਾਈਲਡ ਸੁਰੱਖਿਆ ਐਸੋਸੀਏਸ਼ਨ ਨਾਲ ਕਰਦਾ ਹੈ, TLS 1.3 ਕੁੰਜੀ ਅੱਪਡੇਟ ਸੁਨੇਹੇ ਨਾਲ, ਅਤੇ WireGuard ਆਪਣੀ ਸਮਾਂ ਜਾਂ ਸੁਨੇਹਾ ਸੀਮਾ ਪੂਰੀ ਹੋਣ 'ਤੇ ਨਵੇਂ ਹੈਂਡਸ਼ੇਕ ਨਾਲ। ਟਨਲ ਦੇ ਪਤੇ ਅਤੇ ਪ੍ਰਮਾਣਿਤ ਪਛਾਣ ਉੱਥੇ ਹੀ ਰਹਿੰਦੇ ਹਨ।

ਦੁਬਾਰਾ ਕਨੈਕਟ ਕਨੈਕਸ਼ਨ ਨੂੰ ਸੁੱਟ ਕੇ ਇਸਨੂੰ ਸ਼ੁਰੂ ਤੋਂ ਮੁੜ ਬਣਾਉਂਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਪਤਾ ਨਿਰਧਾਰਣ, ਰੂਟਿੰਗ ਸਥਾਪਨਾ ਅਤੇ ਪਹਿਲੀ ਕੋਸ਼ਿਸ਼ ਦੀ ਹਰ ਗੱਲਬਾਤ ਦੁਹਰਾਈ ਜਾਂਦੀ ਹੈ।

ਦੁਬਾਰਾ ਪ੍ਰਮਾਣਿਕਤਾ ਪਛਾਣ ਦਾ ਸਬੂਤ ਹੀ ਦੁਹਰਾਉਂਦੀ ਹੈ, ਜਿਸ ਵਿੱਚ ਪ੍ਰਮਾਣ-ਪੱਤਰ, ਸਰਟੀਫਿਕੇਟ ਜਾਂ ਦੂਜਾ ਕਾਰਕ ਸ਼ਾਮਲ ਹੋ ਸਕਦਾ ਹੈ। ਉਤਪਾਦ ਅਨੁਸਾਰ ਇਹ ਦੁਬਾਰਾ ਕਨੈਕਟ ਨਾਲ ਜਾਂ ਬਿਨਾਂ ਹੋ ਸਕਦੀ ਹੈ।

ਨਵੀਨੀਕਰਨ ਵੇਲੇ ਵਰਤੋਂਕਾਰ ਕੀ ਨੋਟ ਕਰਦੇ ਹਨ

ਦੁਬਾਰਾ ਕੁੰਜੀ ਲਗਭਗ ਅਦਿੱਖ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ। ਐਸੋਸੀਏਸ਼ਨ ਪਛਾਣਕਰਤਾ ਬਦਲਦੇ ਹਨ, ਗਿਣਤੀਕਾਰ ਰੀਸੈਟ ਹੋ ਸਕਦੇ ਹਨ, ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਆਪਣੇ ਸਾਕਟ ਰੱਖਦੇ ਹਨ; ਅਦਲਾ-ਬਦਲੀ ਦੌਰਾਨ ਇੱਕ ਦਿਸ਼ਾ ਵਿੱਚ ਥੋੜ੍ਹਾ ਰੁਕਣਾ ਆਮ ਹੈ। ਸਥਿਤੀ ਸੂਚੀ ਵਿੱਚ ਨਵਾਂ ਪਛਾਣਕਰਤਾ ਦੇਖਣਾ ਖਰਾਬੀ ਦਾ ਸਬੂਤ ਨਹੀਂ ਹੈ। ਅਦਲਾ-ਬਦਲੀ ਤੋਂ ਬਾਅਦ ਦੀ ਲਾਗ ਲਾਈਨ ਹੀ ਦੱਸਦੀ ਹੈ ਕਿ ਇਹ ਪੂਰੀ ਹੋਈ ਜਾਂ ਨਹੀਂ।

ਨਵੀਨੀਕਰਨ ਵੇਲੇ ਅਸਲ ਕਟੌਤੀ ਕਿਸੇ ਖਾਸ ਥਾਂ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੀ ਹੈ। ਪ੍ਰਸਤਾਵ ਦਾ ਮੇਲ ਨਾ ਹੋਣਾ, ਮਿਆਦ ਪੁੱਗਿਆ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਜਾਂ ਰਾਹ ਬਦਲਣਾ ਹਰ ਇੱਕ ਵੱਖਰੀ ਲਾਗ ਲਾਈਨ ਬਣਾਉਂਦਾ ਹੈ, ਅਤੇ ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਇੱਕ ਹੀ ਆਯੁਸ਼ ਬਦਲ ਕੇ ਸੁਧਰਦਾ ਹੈ।

ਵਿਹਾਰ ਵਿੱਚ ਤਿੰਨੇ ਕਿੱਥੇ ਵੱਖ ਹੁੰਦੇ ਹਨ

ਜੇ ਮਿਆਦ ਪੁੱਗੀ ਇੱਕੋ ਚੀਜ਼ ਕੁੰਜੀ ਸਮੱਗਰੀ ਹੈ, ਤਾਂ ਦੁਬਾਰਾ ਕੁੰਜੀ ਕਰੋ। ਜੇ ਪੀਅਰ ਪਤਾ, ਰੂਟ ਜਾਂ NAT ਬਾਈਂਡਿੰਗ ਬਦਲ ਗਈ ਹੈ ਅਤੇ ਪੈਕੇਟ ਹੁਣ ਨਹੀਂ ਆਉਂਦੇ, ਤਾਂ ਦੁਬਾਰਾ ਕਨੈਕਟ ਕਰੋ। ਜੇ ਸੰਸਥਾ ਆਵਰਤੀ ਪਛਾਣ ਜਾਂਚ ਮੰਗਦੀ ਹੈ, ਤਾਂ ਉਹ ਦੁਬਾਰਾ ਪ੍ਰਮਾਣਿਕਤਾ ਹੈ ਅਤੇ ਕੋਈ ਆਯੁਸ਼ ਸਮਾਯੋਜਨ ਉਸਦੀ ਥਾਂ ਨਹੀਂ ਲੈ ਸਕਦਾ।

ਪ੍ਰੋਟੋਕੋਲ ਦੇ ਡਿਫਾਲਟ ਮੁੱਲਾਂ ਵਿੱਚ ਆਮ ਤੌਰ 'ਤੇ ਸਹੀ ਜਵਾਬ ਹੁੰਦਾ ਹੈ। WireGuard ਕਿਸੇ ਵਰਤੋਂਕਾਰ ਕਾਰਵਾਈ ਤੋਂ ਬਿਨਾਂ ਸਮਾਂ ਅਤੇ ਡੇਟਾ ਮਾਤਰਾ ਸੀਮਾ ਤੋਂ ਬਾਅਦ ਕੁੰਜੀਆਂ ਬਦਲਦਾ ਹੈ; IKEv2 ਦੇ ਆਯੁਸ਼ ਹਰ ਚਾਈਲਡ ਐਸੋਸੀਏਸ਼ਨ ਲਈ ਤੈਅ ਹੁੰਦੇ ਹਨ; TLS ਅਧਾਰਿਤ ਟਨਲ ਮੌਜੂਦਾ ਸੈਸ਼ਨ ਦੇ ਅੰਦਰ ਹੀ ਕੁੰਜੀਆਂ ਘੁਮਾਉਂਦੇ ਹਨ। ਵਾਰ-ਵਾਰ ਆਉਣ ਵਾਲੀ ਗਲਤੀ ਤੋਂ ਬਚਣ ਲਈ ਆਯੁਸ਼ ਵਧਾਉਣਾ ਅਸਫਲਤਾ ਨੂੰ ਟਾਲਦਾ ਹੈ ਅਤੇ ਕੁੰਜੀ ਲੀਕ ਹੋਣ 'ਤੇ ਖੁਲਾਸਾ ਲੰਮਾ ਕਰਦਾ ਹੈ।

ਲੰਮੇ ਸੈਸ਼ਨਾਂ ਲਈ ਇੱਕ ਚੇਤਾਵਨੀ ਜ਼ਰੂਰੀ ਹੈ: ਸਿਰਫ਼ ਬਾਰੰਬਾਰਤਾ ਫਾਰਵਰਡ ਸੀਕ੍ਰੇਸੀ ਨਹੀਂ ਬਣਾਉਂਦੀ। ਇਹ ਗੁਣ ਇਸ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ ਕਿ ਸੈਸ਼ਨ ਕੁੰਜੀਆਂ ਲੰਮੇ ਸਮੇਂ ਦੇ ਭੇਤਾਂ ਨਾਲ ਕਿਵੇਂ ਸੰਬੰਧਿਤ ਹਨ ਅਤੇ ਪੁਰਾਣੀਆਂ ਕੁੰਜੀਆਂ ਨਸ਼ਟ ਕੀਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ ਜਾਂ ਨਹੀਂ, ਜੋ ਸੈਟਿੰਗ ਨਹੀਂ ਸਗੋਂ ਡਿਜ਼ਾਈਨ ਅਤੇ ਲਾਗੂਕਰਨ ਦਾ ਸਵਾਲ ਹੈ।

ਡਿਫਾਲਟ ਚੁਣੋ, ਫਿਰ ਪੜਾਅ ਦਰਜ ਕਰੋ

ਦਸਤਾਵੇਜ਼ੀ ਲੋੜ ਹੋਰ ਨਾ ਕਹੇ ਤਾਂ ਸਪਲਾਇਰ ਦੇ ਡਿਫਾਲਟ ਰੱਖੋ, ਅਤੇ ਆਯੁਸ਼ ਬਦਲਣੇ ਹੋਣ ਤਾਂ ਦੋਵੇਂ ਪੀਅਰਾਂ 'ਤੇ ਬਦਲੋ। ਫਿਰ ਦਰਜ ਕਰੋ ਕਿ ਹਰ ਘਟਨਾ ਕਿਹੜੇ ਪੜਾਅ ਤੱਕ ਪਹੁੰਚੀ, ਤਾਂ ਜੋ ਅਗਲੀ ਵਾਰ ਉਸੇ ਹੈਂਡਸ਼ੇਕ ਬਿੰਦੂ ਨਾਲ ਤੁਲਨਾ ਕੀਤੀ ਜਾ ਸਕੇ।

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

ਸੁਧਾਰ ਤੋਂ ਬਾਅਦ ਨਿਯੰਤਰਿਤ ਨਵੀਨੀਕਰਨ ਕਰੋ ਅਤੇ ਨਵੀਂ ਐਸੋਸੀਏਸ਼ਨ ਰਾਹੀਂ ਤਾਜ਼ਾ ਐਪਲੀਕੇਸ਼ਨ ਟ੍ਰੈਫਿਕ ਭੇਜੋ। ਜੋ ਟਨਲ ਆਪਣੇ ਆਪ ਨੂੰ ਸਥਾਪਿਤ ਦੱਸਦੀ ਹੈ ਪਰ ਕੁਝ ਵੀ ਅੱਗੇ ਨਹੀਂ ਭੇਜਦੀ, ਉਹੀ ਅਸਫਲਤਾ ਹੈ ਜਿਸਨੂੰ ਫੜਨ ਲਈ ਇਹ ਜਾਂਚ ਹੈ।