په IKEv2 کې د SA عمر: نرم کیلي تازه کول، سخت پای، جلا بیا تصدیق

ټایمرونه ټاکي چې د تونل کیلي کله بدلېږي، او دواړه اړوند حدونه ډېری وخت یو ګڼل کیږي۔ دوی یو نه دي۔ نرم عمر له سیال څخه غواړي چې بدلون جوړ کړ، په داسې حال کې چې اوسنی امنیتي یوځایوالی لا تراژیکي لېږدوي، او سخت عمر هغه موده ده چې وروسته یې زوړ یوځایوالی ورک شي، که بدلون کار وکړ یا نه۔ د دوی ترمنځ د پوښلو کړکۍ ده چې شته ترڅو کڅوړې په تشه کې ونه غورځي۔

عمر په رښتیا څه محدودوي

د IPsec امنیتي یوځایوالی د کوډګري حالت بنډل دی: د یو لوري لپاره کیلي، د امنیتي پارامیټرونو شاخص، د الګوریتمونو ټولګه او ټاکونکی۔ عمر محدودوي چې دا حالت څومره وخت کارول کیدای شي، چې دا محدودوي چې یوه کیلي څومره ټرافیک ساتي۔ دا د کیلي لپاره د مهار اقدام دی، نه د دې بیان چې د کارونکي ناسته باید څومره دوام وکړي۔

د IKE کنټرول یوځایوالی خپلې کیلي او خپل عمرونه لري، د هغو ماشوم یوځایوالیو څخه جلا چې ډاټا لېږدوي۔ دلته خلک لومړی دوه مهالویشونه ګډوي۔

نرم بدلون پیلوي، سخت زوړ حالت پای ته رسوي

کله چې نرم حد نږدې شي، سیال بدلون پیلوي۔ پلي کول معمولاً ژر فعالیږي او شیبه تصادفي کوي، ترڅو سلګونو تونلونو لرونکی مرکز ټولې کیلي یوځای تازه نه کړي۔ په IKEv2 کې بدلون د نوي nonce لرونکی CREATE_CHILD_SA تبادله ده، او د بشپړې مخکې پټوالي په ترتیب سره د Diffie-Hellman تبادله هم ورزیاتېږي۔ پایله د نویو کیليو سره نوی جوړه یوځایوالی ده۔

پوښل مهم دی۔ لږ وخت سیال کولای شي زوړ او نوی یوځایوالی وساتي، او نیول کولای شي دوه سیټه پیژندونکي وښيي۔ دا د میکانېزم کار دی، نه خرابي۔

سخت حد بښنه نه کوي۔ که بدلون تر هغه وخته بشپړ نه شي، زوړ یوځایوالی باید تقاعد شي او یوازې د هغه له لارې ساتل شوی ټرافیک ودروي۔ تکراري ناکامه کیلي تازه کول چې تر سخت پای پورې ځي د څیړنې لپاره عملیاتي نښه ده، ځکه تونل په هر دور کې پر یوې مودې ولاړ وي۔

د کارونې حدود کولای شي له هر ساعت مخکې فعال شي

وخت یوازینی حد نه دی۔ پلي کول کولای شي هغه بایټونه یا کڅوړې محدودې کړي چې یوه کیلي یې ساتي، او بوخت تونل به د څو ساعتونو ټایمر څخه ډېر مخکې د کارونې حد ته ورسیږي۔ strongSwan د وخت، بایټونو او کڅوړو لپاره جلا د عمر او حاشیې تنظیمات وړاندې کوي، یعنې اغیزمن د تازه کولو نقطه هغه حد دی چې لومړی راځي، منفي ترتیب شوې حاشیه۔

کله چې تونل د خپلو ترتیب شوو ساعتونو له اشارې څخه ډېر ځله تازه شي، د ساعت په تورنولو دمخه د بایټونو او کڅوړو حدود وګورئ۔ یو اشباع شوی لینک او یو بېکاره لینک چې ورته وخت تنظیمات لري به په ښکاره توګه مختلف د کیلي تازه کولو کچه ولري، او یوازې یو له دوی څخه ټایمر تعقیبوي۔

هر سیال خپله پالیسي پلي کوي

IKEv2 د یو واحد عمر په اړه خبرې نه کوي چې دواړه سیالان یې باید یو شان وښيي۔ هر لوری خپله ځایي پالیسي پلي کوي او کولای شي بدلون پیل کړي کله چې خپل حد نږدې شي، لکه څنګه چې په RFC 7296 2.8 برخه کې تشریح شوی۔ نو د دوو سیالانو د ترتیب شوو ساعتونو ترمنځ توپیر په اتوماتيک ډول نیمګړتیا نه ده، که څه هم ډېر مختلف ارزښتونه کیدای شي ګډوډي رامنځته کړي که یو لوری هغه حالت بدلوي چې بل نوی نصب کړی۔

همغږي د سازګار چلند معنا لري: د تبادلې لپاره کافي اوږده د پوښلو کړکۍ، د بیا هڅې لپاره ځای پرېښودونکې حاشیې، او څارنه چې ښيي کوم لوری هر تازه کول پیل کړي۔

کیلي تازه کول بیا تصدیق نه دی

کیلي تازه کول په موجوده تصدیق شوې اړیکه کې کیلي تازه کوي۔ بیا تصدیق د هویت کتنه تکراروي، که د سندونو تبادله وي یا د EAP خبرې اترې۔ دواړه په جلا مهالویشونو کار کوي او بریالۍ تازه کول هېڅ نه وايي چې حساب باید لا هم لاسرسی ولري که نه۔

دا توپیر د لغوه کولو لپاره مهم دی۔ د حساب غیر فعالول، د سند لغوه کول یا د ناستې پای ته رسول د لاسرسي پریکړې دي چې په پلي کولو کې روښانه پالیسي غواړي؛ دوی د SA ټایمر څخه نه راځي، او کیلي تازه کول کولای شي د هغه هویت لپاره هم په ارامۍ دوام وکړي چې حقوق یې مخکې اخیستل شوي۔

د هر تونل لپاره څه ثبت کړو

ثبت کړئ چې کوم یوځایوالی تازه کول هڅولي، زوړ او نوی پیژندونکي، کوم حد فعال شو او ایا بدلون د پوښلو په دننه کې بشپړ شو۔ هغه څلور ساحې د کیلي تازه کولو ستونزه د خنډ کیدو دمخه ښکاره کوي، او یرغلګر پالیسي له ناکامې پالیسۍ جلا کوي۔

د لاسرسي لرې کولو مهالویش د هغه ثبت ترڅنګ وساتئ، نه په دننه کې۔ کوډګري پاکوالی او د هویت پالیسي جلا کنټرولونه دي، او هغه تونل چې کیلي په وخت ګرځوي لا هم کیدای شي هغه ناسته وساتي چې هیڅوک یې د ساتلو اراده نه لري۔