Ufunguo mpya, kuunganisha upya au uthibitishaji upya: unahitaji kipi?

Kipindi kilichodumu kwa saa nyingi hakitahifadhi funguo zilezile milele, na hilo ni kwa makusudi. Matukio matatu tofauti huitwa mzunguko wa funguo: nyenzo mpya za kipindi chini ya muungano uliopo, ujenzi upya kamili wa muunganisho, na kurudia kwa ukaguzi wa utambulisho. Kila moja ina kichocheo, gharama na alama ya kushindwa tofauti. Chagua isiyofaa na marekebisho hayatafanya chochote au yataangusha handaki bila sababu.

Uamuzi unategemea tabaka gani lililoisha kwa kweli.

Shughuli tatu zinazoitwa mzunguko

Ufunguo mpya huunda funguo mpya za trafiki ndani ya uhusiano wa udhibiti uliopo, kwa kutumia utaratibu unaobainishwa na itifaki. IKEv2 hufanya hivyo kwa muungano mpya wa usalama wa mtoto, TLS 1.3 kwa ujumbe wa kusasisha ufunguo, na WireGuard kwa kupeana mikono mpya pale mipaka yake ya muda au ujumbe inapofikiwa. Anwani za handaki na utambulisho uliothibitishwa hubaki pale zilipokuwa.

Kuunganisha upya hutupa muunganisho na kuujenga tena kutoka mwanzo, jambo ambalo hurudia ugawaji wa anwani, usanikishaji wa njia na mazungumzo yote ya jaribio la kwanza.

Uthibitishaji upya hurudia uthibitisho wa utambulisho wenyewe, ambao unaweza kuhusisha kitambulisho, cheti au kipengele cha pili. Inaweza kutokea pamoja na au bila kuunganisha upya, kulingana na bidhaa.

Watumiaji wanagundua nini wakati wa uhuishaji

Ufunguo mpya unapaswa kuwa karibu usionekane. Vitambulisho vya muungano hubadilika, vihesabu vinaweza kuwekwa upya, na programu huhifadhi soketi zake; kusimama kwa muda mfupi upande mmoja ni kawaida wakati wa kubadilishana. Kuona kitambulisho kipya kwenye orodha ya hali si ushahidi wa hitilafu. Mstari wa kumbukumbu unaofuata kubadilishana ndio unaokuambia kama imekamilika.

Kukatika kwa kweli wakati wa uhuishaji kunaonyesha mahali maalum. Kutolingana kwa pendekezo, kitambulisho kilichoisha muda au mabadiliko ya njia kila kimoja hutoa mstari tofauti wa kumbukumbu, na ni mmoja tu wao unaorekebishwa kwa kurekebisha muda wa maisha.

Wapi watatu wanatofautiana kivitendo

Ikiwa kitu pekee kilichoisha ni nyenzo ya ufunguo, fanya ufunguo mpya. Ikiwa anwani ya mwenzake, njia au kiungo cha NAT kimebadilika na pakiti hazifiki tena, unganisha upya. Ikiwa shirika linahitaji ukaguzi wa utambulisho wa mara kwa mara, huo ni uthibitishaji upya na hakuna marekebisho ya muda wa maisha unaoweza kuubadilisha.

Thamani chaguo-msingi za itifaki kwa kawaida huwa na jibu sahihi. WireGuard hubadilisha funguo baada ya kizingiti cha muda na kiasi cha data bila hatua ya mtumiaji; muda wa maisha wa IKEv2 hujadiliwa kwa kila muungano wa mtoto; handaki zinazotegemea TLS huzungusha funguo ndani ya kipindi kilichopo. Kuongeza muda wa maisha ili kuepuka hitilafu inayojirudia huchelewesha kushindwa na kurefusha mfiduo ikiwa ufunguo umevuja.

Tahadhari moja ni muhimu kwa vipindi virefu: marudio peke yake hayazalishi usiri wa mbele. Sifa hiyo inategemea jinsi funguo za kipindi zinavyohusiana na siri za muda mrefu na kama funguo za zamani zinaharibiwa, jambo ambalo ni swali la ubunifu na utekelezaji, si mpangilio.

Chagua thamani chaguo-msingi, kisha rekodi hatua

Hifadhi thamani chaguo-msingi za msambazaji isipokuwa hitaji lililoandikwa liseme vinginevyo, na ukiwa unabadilisha muda wa maisha badilisha kwa pande zote mbili. Kisha rekodi ni hatua gani kila tukio lilifikia, ili tukio lijalo liweze kulinganishwa na sehemu hiyo hiyo ya kupeana mikono.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

Baada ya marekebisho, fanya uhuishaji unaodhibitiwa na utume trafiki mpya ya programu kupitia muungano mpya. Handaki inayoripoti kuwa imeanzishwa lakini haipitishi chochote ni kushindwa ambako ukaguzi huu upo ili kukamata.