IKEv2: obnavljanje ključev proti ponovni avtentikaciji — zakaj povezava pozneje pade

Predor se zjutraj dvigne in deluje ure. Nato pade, po poskusu se znova poveže in naslednji dan naredi isto. V omrežju se ni nič spremenilo in nihče se ni dotaknil gesla. Seje, ki spodletijo na meji obnavljanja, običajno prestopijo eno od dveh različnih operacij, in le ena od njiju znova preveri vaše poverilnice. Branje, katera se je sprožila, je celotna diagnoza.

Dve operaciji, ki od zunaj izgledata enako

Obnavljanje ključev zamenja varnostne asociacije ali ključni material v okviru izmenjave, ki jo določa protokol. Avtentikacija se ne ponovi, zato se identiteta, sprejeta na začetku seje, preprosto prenese naprej.

Ponovna avtentikacija gre dlje: vzpostavi novo avtenticirano razmerje, kar pomeni, da se poverilnice znova ovrednotijo. Vse, kar je poteklo, bilo preklicano ali spremenjeno v imeniku, postane v tem trenutku vidno.

Kaj obnavljanje ključev v resnici zamenja

IKEv2 hrani dve vrsti asociacij z ločenimi življenjskimi cikli. IKE SA ščiti nadzorni kanal, CHILD SA pa ščitijo dejanski promet. Obnoviti eno ni sinonim za ponovno povezavo odjemalca.

Ta ločitev pojasnjuje znan vzorec: promet lepo teče, nato se CHILD SA obnovi in predlog se ne ujema več, ker je nekdo tedne prej uredil fazo 2 na eni strani. Sprememba je tam ležala neškodljivo, dokler je obnavljanje ni izvedlo.

Neujemanja življenjske dobe se obnašajo enako. Stran, ki prva doseže svojo mejo, začne izmenjavo, druga pa jo mora sprejeti.

Kaj ponovna avtentikacija znova ovrednoti

Pri ponovni avtentikaciji je lahko odjemalčev certifikat, ki je bil veljaven ob prijavi, zdaj potekel. Preklicane poverilnice, zamenjano geslo ali nedosegljiv drugi dejavnik se vsi pojavijo tukaj, ne ob času obnavljanja.

Zato se podaljševanje vsake življenjske dobe zdi popravek in ni. Preverjanje ste odložili, namesto da bi ga prestali. Naslednje obnavljanje pride z isto napako in s krajšim oknom prekinitve, da jo opazite.

Nekatere izvedbe med ponovno avtentikacijo prekrijejo staro in novo stanje. Druge ustvarijo kratko vrzel. Zato lahko enake nastavitve pri dveh ponudnikih dajo različno uporabniško izkušnjo. Preizkusite vedenje, namesto da bi domnevali, da ga standard predpisuje.

Preberite časovne žige, preden karkoli spremenite

Zajemite trenutek okvare skupaj s stanjem asociacije pred in po. Če je bila stara asociacija zamenjana brez avtentikacijske izmenjave, ste bili na meji obnavljanja. Če se tik pred okvaro pojavi izmenjava AUTH, ste bili pri ponovni avtentikaciji.

strongSwan to izpostavi kot ločene nastavitve: rekey nadzoruje obnavljanje ključev, reauth nadzoruje, ali pride do nove avtentikacije, vrednosti margin pa odločajo, kako dolgo pred potekom se vsaka začne. dokumentacija o obnavljanju ključev opisuje to interakcijo in vredno jo je prebrati, preden kopirate življenjsko dobo iz objave na forumu.

Ločite vse to od običajne izgube omrežja. Prekinjena povezava ustvari dogodek zaznave mrtvega partnerja ali nevihto ponovnih pošiljanj, ne čiste izmenjave z ujemajočimi se predlogi.

Spremenite tisto, kar je spodletelo

Zavrnitev poverilnic zahteva popravek težave z identiteto: obnovite certifikat, obnovite račun, znova registrirajte dejavnik. Neujemanje predloga ali življenjske dobe zahteva primerjavo parametrov na obeh straneh.

Raztegovanje življenjskih dob, da bi se izognili simptomu, je edina možnost, ki je videti vedno uspešna in nikoli ni.

Preizkusite nadzorovano obnavljanje

Vsilite obnavljanje, namesto da bi nanj čakali dan. Nato ponovite s ponovno avtentikacijo, če jo uvajanje podpira, in opazujte oba konca.

Uspešna prva prijava ne uri ničesar od tega. Življenjski cikel po njej je kraj, kjer se te uvedbe res zlomijo.