Kwa nini handaki ya IPsec yenye shughuli nyingi hubadilisha funguo mapema: mipaka ya muda na ujazo

Takriban kila dakika hamsini, handaki kwenye kiungo chenye shughuli nyingi huanguka kwa sekunde chache, na mshukiwa wa kwanza ni saa. Muungano unaweza kuisha kwa kikomo cha muda au kwa hesabu ya baiti, na kikomo kipi kinachokuja kwanza ndicho kinachowastaafisha. Kwenye kiungo kinachobeba trafiki halisi, kikomo cha ujazo kinaweza kuanza kufanya kazi muda mrefu kabla saa iliyowekwa kuisha. Kwa hiyo «mapema sana» ni kauli kuhusu saa, sio kuhusu muungano.

Hesabu kile muungano unahesabu, sio kiolesura

Jumla ya baiti ya kiolesura, upitishaji jumlishi wa dashibodi na kihesabu cha muungano wenyewe ni namba tatu tofauti, na ni moja tu kati yao linalolinganishwa na kikomo. Rekodi muungano wa kuingia na wa kutoka kwa tofauti pamoja na vitambulisho vyao, ili mabadiliko ya funguo yanayogusa mwelekeo mmoja yaonekane kama tukio la mwelekeo badala ya fumbo. Kihesabu cha muungano pia huanza upya wakati wa mabadiliko ya funguo, ndiyo sababu jumla inayochukuliwa kutoka kiolesura hukua wakati thamani muhimu inarejeshwa.

Hesabu inafaa kufanywa mara moja ili mpangilio wa ukubwa uache kuonekana wa nasibu. Bajeti iliyohesabiwa ya gibibaiti moja inayotumika kwa kiwango thabiti cha mebibaiti 128 kwa dakika huisha katika dakika nane, na huo ni ubadilishaji wa vipimo, sio kipimo cha handaki yako. Ikiwa namba inayotokana iko chini sana ya kikomo cha muda, ujazo ndio utaratibu na hakuna kuangalia saa kutakachoeleza muda huo. Ikiwa iko juu sana, kikomo cha baiti sio kichocheo chako na utafutaji unamiliki mahali pengine.

Kizingiti laini na kigumu ni matukio mawili tofauti

Kizingiti laini huomba badala muda mrefu kabla kikomo kigumu kumaliza muungano, na utekelezaji huongeza pembezoni na ubahatishaji wao juu ya kile ulichoweka. Ndiyo sababu muda unaoonekana karibu kamwe hauwezi kuwa namba duara. usanifu wa IPsec inaeleza maisha yaliyoonyeshwa kwa muda na hesabu za baiti pamoja na aina mbili za vizingiti, na kuisha kwa mapema ndiko kunakotumika. Ukitendea maisha moja yaliyochapishwa kama ratiba, utakosea kwa kiasi cha pembezoni.

Soma sera inayofaa kutoka hali inayoendesha badala ya kuikisia kutoka namba iliyo kwenye faili, kwa sababu pembezoni ni mali ya utekelezaji, sio nia yako. Pinga kishawishi cha kunyoosha mipaka kuelekea upeo wao ili kunyamazisha dalili: handaki inayobadilisha funguo kwa ratiba inafanya kazi kama ilivyoundwa, na maisha marefu zaidi yanaahirisha tu tukio huku yakiacha ufunguo uliovunjwa ukitumika kwa muda mrefu zaidi. Ubadilishaji wenyewe unaposhindwa, kikomo ni mjumbe sio kosa.

Soma maisha yanayofaa kutoka hali inayoendesha

Kwenye strongSwan, swanctl --list-sas huchapisha muhtasari wa muungano pamoja na nyakati za mabadiliko ya funguo na maisha, hivyo thamani ambayo daemon inakusudia kutekeleza inaonekana bila kukisia. Kwenye mwenyeji wa Linux asiye na mwonekano wa daemon, ip xfrm state huripoti mipaka laini na migumu ya baiti na pakiti iliyowekwa kando ya vihesabu vya sasa. Hizo sehemu mbili za usomaji hujibu maswali tofauti na zote mbili zinafaa kubaki kwenye tikiti.

swanctl --list-sas
ip -s xfrm state

Linganisha kizingiti laini kilichochapishwa na muda uliopima, kwa sababu badala inayoanza na pembezoni chini ya kikomo kigumu ni kawaida, na ile isiyoanza kamwe sivyo. Ikiwa daemon inaonyesha maisha moja na hali ya kerneli inaonyesha mengine, unaangalia tabaka mbili zisizokubaliana, na hiyo yenyewe ndiyo ugunduzi.

Fuatilia ubadilishanaji unaobadilisha SA

Tenganisha uboreshaji tatu, kwa sababu hushindwa kwa njia tofauti: mabadiliko ya funguo ya IKE SA hujenga muungano mpya wa udhibiti, mabadiliko ya funguo ya CHILD SA hubadilisha muungano wa data, na uthibitishaji upya hurudia ubadilishanaji wa utambulisho. Katika IKEv2 kila mshirika huamua maisha yake mwenyewe badala ya kujadiliana thamani moja inayoshirikiwa, kwa hiyo ubadilishanaji ambao hukuanza wewe ni wa kawaida. Kutokubaliana kwa perfect forward secrecy ni sababu ya mara kwa mara kwamba child SA mpya hufa hasa katika muda wa mabadiliko ya funguo, na inaonekana kama hitilafu ya kipima muda hadi mtu asome pendekezo.

Linganisha muungano wa zamani na mrithi wake na ubadilishanaji uliouzalisha. Kutoweka kwa kitambulisho ni badala ya kawaida; pendekezo lililokataliwa, jibu lisilopo au kukosekana kwa hali ya mrithi inayotumika ni tukio tofauti lenye mmiliki tofauti. Hifadhi ushahidi huo kabla ya kubadilisha chochote, kwa sababu maelezo maalum ya toleo, pendekezo la mwenzake na maisha yaliyojadiliwa ndiyo yanayofanya kesi isomeke wiki moja baadaye, baada ya kumbukumbu kuzunguka.

Thibitisha uboreshaji badala ya kuuficha

Kubali usambazaji kwa kupitia uboreshaji ulioumpanga wewe badala ya ule unaokutokea. Lazimisha mabadiliko moja ya funguo ndani ya dirisha la matengenezo, kisha thibitisha kwamba pande zote mbili zinabeba data baada yake na kwamba matokeo ya programu hayajabadilika, sio tu kwamba kiashiria cha handaki ni kijani. Rekodi kikomo kipi kilianza na ubadilishanaji upi ulihusika.

Hitimisho la umbo hilo hustahimili uchunguzi, wakati thamani ya kipima muda iliyobadilishwa iliyofanya muunganisho uonekane mtulivu mchana mmoja haistahimili. Ikiwa kipima muda pekee kilihamia, ushahidi ulihamia pamoja nacho.