Kwa nini handaki lako la IPsec hufanya kazi hadi ubadilishaji wa kwanza wa ufunguo wa CHILD SA

Handaki liliinuka, ping ilijibu na kila mtu alitia sahihi. Saa nne baadaye kipindi kinaanguka, pande zote mbili zinaandika hitilafu ya pendekezo au ubadilishaji funguo, na dhana ya kwanza ni kwamba kitu kimebadilika kwenye mtandao. Hakuna kilichobadilika. Handaki linalobeba trafiki limethibitisha kwamba pande mbili zinakubaliana jinsi ya kuthibitisha na jinsi ya kulinda muungano wa kwanza wa mtoto, na halikuthibitisha chochote kuhusu ubadilishaji wa funguo wataoudai wakati wa uhuishaji upya. Kutokulingana kuko katika pengo kati ya matukio hayo mawili.

Kuunganishwa hakumaanishi kuwa mipangilio ya PFS inalingana

Kwa IKEv2, muungano wa kwanza wa mtoto huundwa wakati wa ubadilishaji wa uthibitishaji, na funguo zake huchukuliwa kutoka nyenzo ambazo muungano wa IKE umezalisha tayari. Hakuna ubadilishaji tofauti wa Diffie-Hellman kwa mtoto huyo, kwa hiyo sera inayohitaji mmoja wakati wa uhuishaji upya haijaribiwi wakati wa kuinua.

Uhuishaji upya ni ubadilishaji tofauti. Funguo ya muungano wa mtoto inapohuishwa upya, pande zinaweza kufanya ubadilishaji mpya wa funguo na kundi lililotajwa katika mapendekezo yao, na huo ni wakati wa kwanza mipangilio ya kundi inalinganishwa. Kwa hiyo pande mbili zisizokubaliana zinaweza kuthibitisha, kufunga muungano wa mtoto na kupitisha trafiki, kisha kushindwa katika uhuishaji upya.

Kutokulingana kunajificha wapi kwenye mfuatano wa pendekezo

Katika strongSwan kundi huongezwa kwenye pendekezo la mtoto, ndiyo sababu mfuatano kama aes256gcm16-prfsha256-ecp256 huonekana kama uchaguzi wa usimbaji fiche lakini pia hubeba sharti la ubadilishaji funguo. Upande unaotoa tu aes256gcm16-prfsha256 hauna sharti kama hilo, na orodha mbili zinakutana kwenye usimbaji fiche lakini zinatofautiana kwenye ubadilishaji.

Soma pendekezo la mtoto na pendekezo la IKE kama orodha tofauti. Kundi linaloonekana kwenye orodha ya IKE halisemi chochote kuhusu orodha ya mtoto, na kuhariri moja wakati ukisoma nyingine ndiyo njia ya kawaida ya kukosa hili.

Soma kushindwa, si faili uliyohariri

Tafuta notify iliyomaliza ubadilishaji. Uhuishaji upya wa funguo za mtoto unaorudisha «hakuna pendekezo linalokubalika» unaonyesha orodha za mapendekezo; ombi la uhuishaji upya lisilopata jibu kamwe linaonyesha njia au upande ulioacha kusikiliza. Haya mawili yanahitaji marekebisho tofauti, na maneno ya mstari wa logi yanayatenganisha.

Thibitisha usanidi unaoendesha, si ule ulio kwenye diski. Faili iliyohifadhiwa lakini isiyopakiwa, au muunganisho uliosomwa upya kutoka include nyingine, vitazalisha kutokulingana ambako hakuna uhariri wa faili inayoonekana unaweza kurekebisha.

Matukio matatu ambayo yote huitwa uhuishaji wa funguo

Uhuishaji wa funguo za muungano wa IKE, uthibitishaji upya wa IKE na uhuishaji wa funguo za muungano wa mtoto ni shughuli tofauti zenye kanuni tofauti za mapendekezo. Kushindwa kunakoripotiwa kwenye moja yao hakuambii chochote moja kwa moja kuhusu nyingine, na logi inayochanganya hizi husomwa kama hitilafu moja inayojirudia ilhali ni tatu.

Angalia ni tukio gani upande unautaja, kisha angalia mapendekezo kwa tukio hilo pekee. Badilisha orodha moja, pakia upya na ulazimishe tukio lile lile tena. Ikiwa logi inataja uthibitishaji upya, pendekezo la IKE ndilo la kusoma. Ikiwa inataja uhuishaji wa funguo za mtoto, pendekezo la mtoto hubeba kundi lenye umuhimu.

Kuzima uhuishaji upya si suluhisho

Kuweka muda wa uhuishaji wa funguo kuwa sifuri kunakandamiza ubadilishaji unaoshindwa, na handaki huishi hadi livunjwe au upande uanze upya. Ulichonunua ni ufunguo wa muda mrefu na kutokulingana kutakayokutana tena wakati wa uhamishaji, ukaguzi au sasisho kutoka kwa muuzaji. Ndivyo ilivyo pia kwa muda mrefu uliorefushwa mbali zaidi ya sera ambayo upande mwingine unatarajia.

Badala yake linganisha mapendekezo. Chagua kundi ambalo pande zote mbili zinatekeleza, liweke kwenye pendekezo la mtoto katika ncha zote mbili, na uweke sera ya uhuishaji upya ndani ya kiwango ambacho shirika linahitaji kweli.

Thibitisha kwa ubadilishaji ulioshindwa

Fupisha muda wa uhuishaji wa funguo za mtoto katika dirisha la matengenezo ili tukio lifike kwa dakika badala ya saa, au anzisha uhuishaji wa funguo za mtoto kwa mkono. Kisha tazama uhuishaji uliofanikiwa na uthibitishe kwamba trafiki inaendelea kupita ndani yake, kwa sababu handaki mpya ya kupeana mikono inayoweka muungano wa mtoto lakini inaacha mtiririko wa programu ni hitilafu tofauti.

Baadaye rejesha umri wa kawaida na uhifadhi kumbukumbu zote mbili za matukio, iliyoshindwa na iliyofanikiwa. Uthibitisho unaoutaka ni kwamba muunganisho unastahimili mzunguko wake wa maisha, si kwamba ulistahimili ping.