Zašto vaš IPsec tunel radi do prvog obnavljanja ključa CHILD SA

Tunel se podigao, ping je odgovorio i svi su potpisali. Četiri sata kasnije sesija padne, strane zabeleže grešku u predlogu ili razmeni ključeva, a prva pretpostavka je da se nešto promenilo na mreži. Ništa se nije promenilo. Tunel koji prenosi promet dokazao je da se dve strane slažu kako da se autentifikuju i kako da zaštite prvu podređenu asocijaciju, a nije dokazao ništa o razmeni ključeva koju će zahtevati pri obnavljanju. Nesklad leži u praznini između ta dva događaja.

Povezanost ne znači da se PFS postavke slažu

Uz IKEv2, prva podređena asocijacija nastaje tokom razmene autentifikacije, a njeni ključevi se izvode iz materijala koji je IKE asocijacija već proizvela. Za tu podređenu asocijaciju se ne odvija zasebna Diffie-Hellman razmena, pa se politika koja je zahteva pri obnavljanju ne proverava pri podizanju.

Obnavljanje je druga razmena. Kada se ključ podređene asocijacije obnovi, strane mogu izvesti novu razmenu ključeva sa grupom navedenom u njihovim predlozima, i to je prvi trenutak kada se postavke grupe porede. Zato dve strane koje se ne slažu mogu da se autentifikuju, instaliraju podređenu asocijaciju i propuste promet, a zatim ne uspeju pri obnavljanju.

Gde se nesklad krije u nizu predloga

U strongSwanu se grupa dodaje na predlog podređene asocijacije, zbog čega niz poput aes256gcm16-prfsha256-ecp256 izgleda kao izbor šifrovanja, ali nosi i zahtev za razmenu ključeva. Strana koja nudi samo aes256gcm16-prfsha256 nema takav zahtev, a dve liste se seku u šifrovanju dok se razilaze u razmeni.

Čitajte predlog podređene asocijacije i IKE predlog kao odvojene liste. Grupa koja se pojavljuje u IKE listi ne govori ništa o listi podređene asocijacije, a uređivanje jedne dok čitate drugu uobičajen je način da se to propusti.

Čitajte neuspeh, a ne datoteku koju ste uredili

Pronađite notify koji je okončao razmenu. Obnavljanje ključa podređene asocijacije koje vraća „nema prihvatljivog predloga“ ukazuje na liste predloga; zahtev za obnavljanje koji nikada ne dobije odgovor ukazuje na putanju ili na stranu koja je prestala da sluša. Ta dva slučaja traže različite popravke, a formulacija linije u dnevniku ih razdvaja.

Potvrdite radnu konfiguraciju, a ne onu na disku. Datoteka sačuvana ali ne učitana, ili veza ponovo pročitana iz drugog include-a, proizvešće nesklad koji nikakvo uređivanje vidljive datoteke ne može ispraviti.

Tri događaja koja svi nazivaju obnavljanjem ključa

Obnavljanje ključa IKE asocijacije, ponovna autentifikacija IKE i obnavljanje ključa podređene asocijacije odvojene su operacije sa odvojenim pravilima predloga. Neuspeh prijavljen na jednoj od njih ne govori ništa direktno o ostalima, a dnevnik koji ih meša čita se kao jedan ponavljajući kvar dok su tri.

Zabeležite koji događaj strana navodi, pa proverite predloge samo za taj događaj. Promenite jednu listu, ponovo učitajte i ponovo izazovite isti događaj. Ako dnevnik navodi ponovnu autentifikaciju, IKE predlog je onaj koji treba čitati. Ako navodi obnavljanje ključa podređene asocijacije, predlog podređene asocijacije nosi grupu koja je bitna.

Isključivanje obnavljanja nije popravka

Postavljanje vremena obnavljanja ključa na nulu potiskuje razmenu koja ne uspeva, a tunel zatim preživi dok se ne razmontira ili strana ne restartuje. Ono što ste kupili jeste ključ koji duže traje i nesklad koji će vas ponovo sresti tokom migracije, revizije ili ažuriranja dobavljača. Isto važi i za životne vekove razvučene daleko iznad politike koju druga strana očekuje.

Umesto toga uskladite predloge. Odaberite grupu koju obe strane implementiraju, stavite je u predlog podređene asocijacije na oba kraja i držite politiku obnavljanja unutar raspona koji organizacija zaista zahteva.

Dokažite to razmenom koja nije uspela

Skratite vreme obnavljanja ključa podređene asocijacije u prozoru za održavanje da događaj stigne za nekoliko minuta, a ne sati, ili pokrenite ručno obnavljanje. Zatim pazite na uspešno obnavljanje i potvrdite da promet prolazi kroz njega, jer novo rukovanje koje instalira podređenu asocijaciju ali ispusti tok aplikacije je druga greška.

Posle vratite normalni životni vek i sačuvajte oba zapisa o događajima, neuspeli i uspešni. Dokaz koji želite jeste da veza preživi sopstveni životni ciklus, a ne da je preživela ping.