IKEv2: обнављање кључева насупрот поновној аутентификацији — зашто веза касније пада

Тунел се подиже ујутру и ради сатима. Затим пада, поново се повезује после једног покушаја и следећег дана чини исто. На мрежи се ништа није променило и нико није дирнуо лозинку. Сесије које падају на граници обнављања обично прелазе једну од две различите операције, и само једна од њих поново проверава ваше акредитиве. Читање која је од њих деловала јесте цела дијагноза.

Две операције које споља изгледају слично

Обнављање кључева замењује безбедносне асоцијације или кључни материјал у оквиру размене коју прописује протокол. Аутентификација се не понавља, па се идентитет прихваћен на почетку сесије једноставно преноси даље.

Поновна аутентификација иде даље: успоставља свеж аутентификовани однос, што значи да се акредитиви поново оцењују. Све што је истекло, било опозвано или промењено у директоријуму постаје видљиво у том тренутку.

Шта обнављање кључева заправо замењује

IKEv2 држи две врсте асоцијација са одвојеним животним циклусима. IKE SA штити контролни канал, а CHILD SA штите стварни саобраћај. Обнављање једне није синоним за поновно повезивање клијента.

Та подела објашњава познат образац: саобраћај тече добро, затим се CHILD SA обнови и предлог се више не поклапа јер је неко недељама раније уредио фазу 2 на једној страни. Промена је стајала тамо безопасно док је обнављање није покренуло.

Неслагања у трајању понашају се исто. Која страна прва достигне свој лимит започиње размену, а друга мора да је прихвати.

Шта поновна аутентификација поново оцењује

Уз поновну аутентификацију, клијентски сертификат који је био ваљан при пријави можда је сада истекао. Опозвани акредитив, ротирана лозинка или недоступан други фактор сви се појављују овде, а не у време обнављања.

Зато продужење сваког трајања изгледа као поправка, а није. Одложили сте проверу уместо да сте је прошли. Следеће обнављање долази са истим дефектом и краћим прозором прекида да га приметите.

Неке имплементације преклапају стари и нови статус током поновне аутентификације. Друге стварају кратку празнину. Зато идентична подешавања код два добављача могу дати различито корисничко искуство. Тестирајте понашање уместо да претпостављате да га стандард прописује.

Прочитајте временске ознаке пре него што било шта промените

Забележите тренутак квара заједно са стањем асоцијације пре и после. Ако је стара асоцијација замењена без размене аутентификације, били сте на граници обнављања. Ако се непосредно пре квара појави размена AUTH, били сте при поновној аутентификацији.

strongSwan то излаже као одвојена подешавања: rekey управља обнављањем кључева, reauth управља тиме да ли се догађа нова аутентификација, а вредности margin одлучују колико пре истека свака почиње. документација о обнављању кључева описује ту интеракцију и вреди је прочитати пре него што копирате трајање са форумске објаве.

Разликујте све ово од обичног губитка мреже. Прекинута веза производи догађај откривања мртвог партнера или олују поновног слања, а не чисту размену са одговарајућим предлозима.

Промените оно што је отказало

Одбијање акредитива захтева поправку проблема идентитета: обновите сертификат, вратите налог, поново региструјте фактор. Неслагање предлога или трајања захтева поређење параметара на обе стране.

Развлачење трајања да би се избегао симптом једина је опција која увек изгледа као да је успела и никада не успева.

Тестирајте контролисано обнављање

Присилите обнављање уместо да чекате дан за њега. Затим поновите са поновном аутентификацијом ако распоређивање подржава једну, и посматрајте оба краја.

Успешна прва пријава не вежба ништа од овога. Животни циклус после ње је место где се ова распоређивања заиста ломе.