Muda wa maisha wa SA katika IKEv2: uhuishaji laini wa funguo, mwisho mgumu, uthibitishaji upya tofauti

Vipima muda huamua funguo za handaki zinapobadilishwa, na vizingiti viwili vinavyohusika mara nyingi husomwa kama kimoja. Sivyo. Muda laini wa maisha humwomba mwenzake kujenga uingizwaji wakati muungano wa usalama wa sasa bado unabeba trafiki, na muda mgumu wa maisha ni tarehe ambayo muungano wa zamani hutoweka, iwe uingizwaji ulifanya kazi au la. Kati yao kuna dirisha la mwingiliano ambalo lipo ili pakiti zisianguke kwenye pengo.

Muda wa maisha huzuia nini kwa kweli

Muungano wa usalama wa IPsec ni kifungu cha hali ya kriptografia: funguo za mwelekeo mmoja, kielekezi cha vigezo vya usalama, seti ya algoriti na kichaguzi. Muda wa maisha huzuia hali hiyo itumike kwa muda gani, jambo ambalo huzuia kiasi cha trafiki ambacho ufunguo mmoja hulinda. Ni hatua ya kuzuia kwa ufunguo, si tamko kuhusu kipindi cha mtumiaji kinapaswa kudumu kwa muda gani.

Miungano ya udhibiti ya IKE ina funguo zake na muda wake wa maisha, tofauti na miungano ya watoto inayobeba data. Hapa ndipo watu huchanganya ratiba mbili.

Laini huanzisha uingizwaji, mgumu humaliza hali ya zamani

Kizingiti laini kinapokaribia, mwenzake huanzisha uingizwaji. Utekelezaji mara nyingi huanza mapema na hufanya wakati uwe wa nasibu ili kichwa chenye mamia ya handaki kisiuhuishe funguo zote kwa pamoja. Katika IKEv2 uingizwaji ni ubadilishanaji wa CREATE_CHILD_SA unaobeba nonce mpya, pamoja na ubadilishanaji wa Diffie-Hellman wakati usiri kamili wa mbele umesanidiwa. Matokeo ni jozi mpya ya miungano na funguo mpya.

Mwingiliano ni muhimu. Kwa muda mfupi mwenzake anaweza kushikilia muungano wa zamani na mpya, na nakala inaweza kuonyesha seti mbili za vitambulisho. Hii ni utaratibu ukifanya kazi, si hitilafu.

Kizingiti kigumu hakina msamaha. Ikiwa uingizwaji haujakamilika kufikia wakati huo, muungano wa zamani lazima uondolewe na trafiki inayolindwa nayo pekee husimama. Uhuishaji wa funguo ulioshindwa unaorudiwa unaofika hadi mwisho mgumu ni ishara ya uendeshaji ya kuchunguza, kwa sababu handaki hushikiliwa na tarehe kila mzunguko.

Vikomo vya matumizi vinaweza kuanza kabla ya saa yoyote

Muda si kikomo pekee. Utekelezaji unaweza kuzuia baiti au pakiti zinazolindwa na ufunguo mmoja, na handaki yenye shughuli nyingi itafikia kikomo cha matumizi mapema sana kuliko kipima muda cha saa nyingi. strongSwan hutoa mipangilio tofauti ya muda wa maisha na ukingo kwa muda, baiti na pakiti, kumaanisha kuwa hatua bora ya uhuishaji ni kizingiti kinachofika kwanza, ukiondoa ukingo uliosanidiwa.

Wakati handaki inajihuisha mara nyingi zaidi kuliko inavyodokezwa na saa zake zilizosanidiwa, angalia vikomo vya baiti na pakiti kabla ya kulaumu saa. Kiungo kilichojaa na kiungo kisichotumika chenye mipangilio sawa ya muda vitakuwa na viwango tofauti vya uhuishaji wa funguo, na kimoja pekee ndicho kinachofuata kipima muda.

Kila mwenzake hutekeleza sera yake mwenyewe

IKEv2 haijadili muda mmoja wa maisha ambao wenzake wote wawili wanapaswa kuonyesha kwa usawa. Kila upande hutumia sera yake ya ndani na unaweza kuanzisha uingizwaji wakati kikomo chake kinakaribia, kama ilivyoelezwa katika RFC 7296 sehemu ya 2.8. Kwa hiyo kutofautiana kati ya saa zilizosanidiwa za wenzake wawili si hitilafu kiotomatiki, ingawa thamani tofauti sana zinaweza kusababisha misukosuko ikiwa upande mmoja unaendelea kubadilisha hali ambayo mwingine ameisakinisha hivi punde.

Uratibu humaanisha tabia inayolingana: madirisha ya mwingiliano yaliyo marefu vya kutosha kwa ubadilishanaji, ukingo unaoacha nafasi ya kujaribu tena, na ufuatiliaji unaoonyesha upande gani ulianzisha kila uhuishaji.

Uhuishaji wa funguo si uthibitishaji upya

Uhuishaji wa funguo huburudisha funguo chini ya uhusiano uliothibitishwa uliopo. Uthibitishaji upya hurudia ukaguzi wa utambulisho, iwe ni ubadilishanaji wa vyeti au mazungumzo ya EAP. Vyote viwili huenda kwa ratiba tofauti na uhuishaji uliofaulu hausemi chochote kuhusu kama akaunti bado inapaswa kuwa na ufikiaji.

Tofauti hiyo ni muhimu kwa kufuta. Kulemaza akaunti, kufuta cheti au kumaliza kipindi ni maamuzi ya ufikiaji yanayohitaji sera wazi katika utekelezaji; hayatokani na kipima muda cha SA, na uhuishaji wa funguo unaweza kuendelea kwa utulivu kwa utambulisho ambao tayari umeondolewa haki.

Nini cha kurekodi kwa kila handaki

Rekodi ni muungano gani ulioanzisha uhuishaji, vitambulisho vya zamani na vipya, kizingiti kipi kilianza na kama uingizwaji ulikamilika ndani ya mwingiliano. Sehemu hizo nne hufanya tatizo la uhuishaji lionekane kabla ya kuwa kukatika, na hutofautisha sera kali na ile inayoshindwa.

Weka ratiba ya kuondoa ufikiaji kando ya rekodi hiyo, si ndani yake. Usafi wa kriptografia na sera ya utambulisho ni udhibiti tofauti, na handaki inayozungusha funguo kwa wakati inaweza bado kushikilia kipindi ambacho hakuna aliyekusudia kukiweka.