IKEv2: obnovenie kľúčov verzus opakovaná autentifikácia — prečo spojenie neskôr padá

Tunel sa ráno zdvihne a funguje hodiny. Potom spadne, po pokuse sa znova pripojí a ďalší deň urobí to isté. V sieti sa nič nezmenilo a nikto sa nedotkol hesla. Relácie, ktoré zlyhávajú na hranici obnovenia, zvyčajne prekračujú jednu z dvoch rôznych operácií, a iba jedna z nich znova overuje vaše prihlasovacie údaje. Prečítať, ktorá zabrala, je celá diagnóza.

Dve operácie, ktoré zvonku vyzerajú rovnako

Obnovenie kľúčov nahrádza bezpečnostné asociácie alebo kľúčový materiál v rámci výmeny definovanej protokolom. Autentifikácia sa neopakuje, takže identita prijatá na začiatku relácie sa jednoducho prenáša ďalej.

Opakovaná autentifikácia ide ďalej: vytvára nový autentifikovaný vzťah, čo znamená, že prihlasovacie údaje sa znova vyhodnocujú. Všetko, čo vypršalo, bolo odvolané alebo sa v adresári zmenilo, sa v tej chvíli prejaví.

Čo obnovenie kľúčov skutočne nahrádza

IKEv2 drží dva druhy asociácií s oddelenými životnými cyklami. IKE SA chráni riadiaci kanál a CHILD SA chránia skutočnú prevádzku. Obnoviť jednu nie je to isté ako znova pripojiť klienta.

To oddelenie vysvetľuje známy vzorec: prevádzka ide dobre, potom sa CHILD SA obnoví a návrh už nesedí, pretože niekto pred týždňami upravil fázu 2 na jednej strane. Zmena tam ležala neškodne, kým ju obnovenie neuvedlo do činnosti.

Nezhody životností sa správajú rovnako. Strana, ktorá prvá dosiahne svoj limit, začne výmenu a druhá ju musí prijať.

Čo opakovaná autentifikácia znova vyhodnocuje

Pri opakovanej autentifikácii môže byť klientsky certifikát, ktorý bol platný pri prihlásení, už prepadnutý. Odvolané prihlasovacie údaje, rotované heslo alebo nedostupný druhý faktor sa objavia práve tu, nie v čase obnovenia.

Preto predlžovanie každej životnosti vyzerá ako oprava a nie je. Overenie ste odložili, namiesto toho aby ste ho prešli. Ďalšie obnovenie príde s tou istou vadou a s kratším oknom, kedy si ju všimnúť.

Niektoré implementácie pri opakovanej autentifikácii prekrývajú starý a nový stav. Iné vytvoria krátku medzeru. Preto rovnaké nastavenia u dvoch dodávateľov môžu dať odlišnú používateľskú skúsenosť. Testujte správanie, namiesto toho aby ste predpokladali, že ho štandard ukladá.

Prečítajte si časové značky, skôr než čokoľvek zmeníte

Zachyťte okamih zlyhania spolu so stavom asociácie pred a po. Ak bola stará asociácia nahradená bez autentifikačnej výmeny, boli ste na hranici obnovenia. Ak sa tesne pred zlyhaním objaví výmena AUTH, boli ste pri opakovanej autentifikácii.

strongSwan to vystavuje ako samostatné nastavenia: rekey riadi obnovenie kľúčov, reauth riadi, či prebehne nová autentifikácia, a hodnoty margin rozhodujú, ako dlho pred vypršaním každá začne. dokumentácia k obnoveniu kľúčov opisuje túto interakciu a stojí za prečítanie, kým skopírujete životnosť z príspevku na fóre.

Odlišujte to všetko od obyčajnej straty siete. Prerušené spojenie vytvorí udalosť detekcie mŕtveho partnera alebo búrku opakovaných prenosov, nie čistú výmenu so zhodnými návrhmi.

Zmeňte to, čo zlyhalo

Odmietnutie prihlasovacích údajov vyžaduje opraviť problém identity: obnovte certifikát, obnovte účet, znova zaregistrujte faktor. Nezhoda návrhu alebo životnosti vyžaduje porovnať parametre na oboch stranách.

Naťahovanie životností, aby sa symptómu vyhlo, je jediná možnosť, ktorá vždy vyzerá, že zabrala, a nikdy nezaberie.

Vyskúšajte riadené obnovenie

Vynúťte obnovenie, namiesto toho aby ste naň čakali deň. Potom to zopakujte s opakovanou autentifikáciou, ak ju nasadenie podporuje, a sledujte oba konce.

Úspešné prvé prihlásenie nič z toho neprecvičí. Životný cyklus po ňom je miesto, kde sa tieto nasadenia skutočne lámu.