IKEv2: rinovimi i çelësave kundrejt riautentikimit — pse lidhja bie më vonë

Tuneli ngrihet në mëngjes dhe punon me orë. Pastaj bie, rilidhet pas një përpjekjeje dhe bën të njëjtën gjë ditën tjetër. Asgjë nuk ndryshoi në rrjet dhe askush nuk preku një fjalëkalim. Sesionet që dështojnë në një kufi rinovimi zakonisht kalojnë një nga dy operacione të ndryshme, dhe vetëm njëri prej tyre rikontrollon kredencialet tuaja. Të lexosh cili u aktivizua është e gjithë diagnoza.

Dy operacione që duken njësoj nga jashtë

Rinovimi i çelësave zëvendëson shoqatat e sigurisë ose materialin e çelësave brenda shkëmbimit të përcaktuar nga protokolli. Autentikimi nuk përsëritet, kështu që identiteti i pranuar në fillim të sesionit thjesht bartet përpara.

Riautentikimi shkon më tej: vendos një marrëdhënie të re të autentikuar, që do të thotë se kredencialet vlerësohen përsëri. Çdo gjë që skadoi, u revokua ose ndryshoi në direktori bëhet e dukshme në atë moment.

Çfarë zëvendëson në të vërtetë një rinovim çelësash

IKEv2 mban dy lloje shoqatash me cikle jete të ndara. IKE SA mbron kanalin e kontrollit, dhe CHILD SA mbrojnë trafikun real. Rinovimi i njërës nuk është sinonim i rilidhjes së klientit.

Kjo ndarje shpjegon një model të njohur: trafiku rrjedh mirë, pastaj një CHILD SA rinovohet dhe propozimi nuk përputhet më sepse dikush redaktoi fazën 2 në njërën anë javë më parë. Ndryshimi qëndroi atje pa dëm derisa rinovimi e ushtroi atë.

Mospërputhjet e kohëzgjatjes sillen njësoj. Cila palë arrin e para kufirin e saj fillon shkëmbimin, dhe tjetra duhet ta pranojë.

Çfarë rivlerëson riautentikimi

Me riautentikimin, certifikata e klientit që ishte e vlefshme në hyrje mund të ketë skaduar tani. Një kredencial e revokuar, një fjalëkalim i rrotulluar ose një faktor i dytë i padisponueshëm shfaqen të gjitha këtu, jo në momentin e rinovimit.

Prandaj zgjatja e çdo kohëzgjatjeje duket si rregullim dhe nuk është. Ju e shtytë kontrollin në vend që ta kalonit. Rinovimi i radhës vjen me të njëjtin defekt dhe me një dritare ndërprerjeje më të shkurtër për ta vënë re.

Disa implementime mbivendosin gjendjen e vjetër dhe të re gjatë riautentikimit. Të tjerat prodhojnë një boshllëk të shkurtër. Prandaj cilësimet identike te dy furnizues mund të japin përvoja të ndryshme përdoruesi. Testoni sjelljen në vend që të supozoni se standardi e imponon.

Lexoni vulat kohore përpara se të ndryshoni çfarëdo

Kapni momentin e dështimit së bashku me gjendjen e shoqatës përpara dhe pas. Nëse shoqata e vjetër u zëvendësua pa një shkëmbim autentikimi, ju ishit në një kufi rinovimi. Nëse një shkëmbim AUTH shfaqet pikërisht përpara dështimit, ju ishit në një riautentikim.

strongSwan e ekspozon këtë si cilësime të ndara: rekey kontrollon rinovimin e çelësave, reauth kontrollon nëse ndodh një autentikim i ri, dhe vlerat margin vendosin sa kohë përpara skadimit fillon secili. dokumentacioni mbi rinovimin e çelësave përshkruan ndërveprimin, dhe ia vlen të lexohet përpara se të kopjoni një kohëzgjatje nga një postim forumi.

Dallojeni të gjithë këtë nga një humbje e thjeshtë rrjeti. Një lidhje e ndërprerë prodhon një ngjarje zbulimi të partnerit të vdekur ose një stuhi ritransmetimesh, jo një shkëmbim të pastër me propozime që përputhen.

Ndryshoni atë që dështoi

Refuzimi i kredencialeve kërkon rregullimin e problemit të identitetit: rinovoni certifikatën, riktheni llogarinë, regjistroni përsëri faktorin. Një mospërputhje propozimi ose kohëzgjatjeje kërkon krahasimin e parametrave në të dyja anët.

Zgjatja e kohëzgjatjeve për të shmangur simptomën është opsioni i vetëm që gjithmonë duket se ka funksionuar dhe nuk funksionon kurrë.

Testoni një rinovim të kontrolluar

Detyrojeni rinovimin në vend që të prisni një ditë për të. Pastaj përsëriteni me një riautentikim nëse vendosja mbështet një të tillë, dhe vëzhgoni të dy skajet.

Një hyrje e parë e suksesshme nuk ushtron asgjë nga këto. Cikli i jetës pas saj është vendi ku këto vendosje vërtet thyhen.