Смена ключа, переподключение или повторная аутентификация: что вам нужно?

Сессия, работающая часами, не будет вечно хранить одни и те же ключи, и это задумано. Три разных события называют ротацией ключей: новый сессионный материал в рамках существующей ассоциации, полная перестройка соединения и повтор проверки личности. У каждого свой триггер, своя цена и своя подпись сбоя. Выберете не то — исправление либо ничего не сделает, либо без причины уронит туннель.

Решение зависит от того, какой уровень действительно истёк.

Три операции, которые называют ротацией

Смена ключа создаёт новые ключи трафика внутри существующего отношения управления, используя механизм, определённый протоколом. IKEv2 делает это новой дочерней ассоциацией безопасности, TLS 1.3 — сообщением обновления ключа, а WireGuard — новым рукопожатием при достижении ограничений по времени или числу сообщений. Адреса туннеля и аутентифицированная личность остаются на месте.

Переподключение отбрасывает соединение и строит его заново с начала, что повторяет назначение адресов, установку маршрутов и все переговоры первой попытки.

Повторная аутентификация повторяет само доказательство личности, которое может включать учётные данные, сертификат или второй фактор. Она может происходить с переподключением или без него, в зависимости от продукта.

Что замечают пользователи при обновлении

Смена ключа должна быть почти незаметной. Идентификаторы ассоциации меняются, счётчики могут сбрасываться, а приложения сохраняют свои сокеты; короткая пауза в одном направлении во время обмена нормальна. Новый идентификатор в списке состояния не является доказательством неисправности. Строка журнала после обмена говорит, завершился ли он.

Настоящий разрыв при обновлении указывает на конкретное место. Несовпадение предложения, истёкшие учётные данные или изменение пути дают каждый свою строку журнала, и только одна из них исправляется настройкой сроков жизни.

Где три операции расходятся на практике

Если истёк только ключевой материал, смените ключ. Если изменились адрес партнёра, маршрут или привязка NAT и пакеты больше не приходят, переподключитесь. Если организация требует периодической проверки личности, это повторная аутентификация, и никакая настройка сроков жизни её не заменит.

Значения по умолчанию в протоколах обычно содержат правильный ответ. WireGuard меняет ключи после порога по времени и объёму данных без действий пользователя; сроки жизни IKEv2 согласуются для каждой дочерней ассоциации; туннели на основе TLS ротируют ключи внутри существующей сессии. Повышение сроков жизни, чтобы избежать повторяющейся ошибки, откладывает сбой и удлиняет экспозицию, если ключ скомпрометирован.

Одна оговорка важна для долгих сессий: одна лишь частота не создаёт прямую секретность. Это свойство зависит от того, как сессионные ключи связаны с долгосрочными секретами и уничтожаются ли старые ключи, а это вопрос проектирования и реализации, а не настройки.

Выберите значения по умолчанию, затем зафиксируйте этап

Сохраняйте значения по умолчанию поставщика, если документированное требование не говорит иного, и если уж меняете сроки жизни, меняйте их на обеих сторонах. Затем фиксируйте, какого этапа достигло каждое событие, чтобы следующее можно было сверить с той же точкой рукопожатия.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

После исправления выполните контролируемое обновление и отправьте свежий трафик приложений через новую ассоциацию. Туннель, который сообщает об установлении, но ничего не передаёт, — это тот сбой, ради которого существует эта проверка.