IKEv2 இல் SA வாழ்நாள்: மென்மையான விசை புதுப்பித்தல், கடினமான காலாவதி, தனி மறு அங்கீகாரம்

டைமர்கள் சுரங்கப்பாதையின் விசைகள் எப்போது மாற்றப்படும் என்பதை தீர்மானிக்கின்றன, மேலும் சம்பந்தப்பட்ட இரண்டு வரம்புகள் பெரும்பாலும் ஒன்றாகவே படிக்கப்படுகின்றன. அவை ஒன்றல்ல. மென்மையான வாழ்நாள், தற்போதைய பாதுகாப்பு இணைப்பு இன்னும் போக்குவரத்தை சுமக்கும்போது சகாவை மாற்றீடு கட்டக் கோருகிறது, கடினமான வாழ்நாள் என்பது மாற்றீடு வேலை செய்ததா இல்லையா என்பதைப் பொருட்படுத்தாமல் பழைய இணைப்பு மறையும் காலக்கெடு. அவற்றுக்கு இடையே பாக்கெட்டுகள் இடைவெளியில் விழாதிருக்க ஒரு மேலோட்ட சாளரம் உள்ளது.

வாழ்நாள் உண்மையில் எதை வரம்பிடுகிறது

IPsec பாதுகாப்பு இணைப்பு என்பது குறியாக்க நிலையின் கட்டு: ஒரு திசைக்கான விசைகள், பாதுகாப்பு அளவுரு குறியீடு, வழிமுறை தொகுப்பு மற்றும் தேர்வி. வாழ்நாள் அந்த நிலையை எவ்வளவு காலம் பயன்படுத்தலாம் என்பதை வரம்பிடுகிறது, இது ஒரு விசை எவ்வளவு போக்குவரத்தைப் பாதுகாக்கிறது என்பதை வரம்பிடுகிறது. இது விசைக்கான கட்டுப்பாட்டு நடவடிக்கை, பயனர் அமர்வு எவ்வளவு காலம் நீடிக்க வேண்டும் என்பது பற்றிய அறிக்கை அல்ல.

IKE கட்டுப்பாட்டு இணைப்புகளுக்கு அவற்றின் சொந்த விசைகளும் சொந்த வாழ்நாள்களும் உண்டு, அவை தரவைச் சுமக்கும் குழந்தை இணைப்புகளிலிருந்து தனித்தவை. இங்குதான் மக்கள் இரண்டு அட்டவணைகளை குழப்புகிறார்கள்.

மென்மையானது மாற்றீட்டைத் தொடங்குகிறது, கடினமானது பழைய நிலையை முடிக்கிறது

மென்மையான வரம்பு நெருங்கும்போது சகா மாற்றீட்டைத் தொடங்குகிறது. செயலாக்கங்கள் பொதுவாக முன்கூட்டியே செயல்பட்டு தருணத்தை சீரற்றதாக்குகின்றன, நூற்றுக்கணக்கான சுரங்கப்பாதைகளைக் கொண்ட தலைமுனை அனைத்து விசைகளையும் ஒரே நேரத்தில் புதுப்பிக்காதிருக்க. IKEv2 இல் மாற்றீடு என்பது புதிய nonce-களைச் சுமக்கும் CREATE_CHILD_SA பரிமாற்றம், மேலும் சரியான முன்னோக்கு இரகசியத்தன்மை அமைக்கப்பட்டிருந்தால் Diffie-Hellman பரிமாற்றமும். முடிவு புதிய விசைகளுடன் கூடிய புதிய இணைப்பு ஜோடி.

மேலோட்டம் முக்கியம். சிறிது காலம் சகா பழைய மற்றும் புதிய இணைப்புகளை வைத்திருக்கலாம், மேலும் ஒரு பதிவு இரண்டு தொகுப்பு அடையாளங்காட்டிகளைக் காட்டலாம். இது பொறிமுறை வேலை செய்வது, குறைபாடு அல்ல.

கடினமான வரம்பு மன்னிக்காது. அதற்குள் மாற்றீடு முடியவில்லை என்றால், பழைய இணைப்பு ஓய்வு பெற வேண்டும், அதனால் மட்டும் பாதுகாக்கப்பட்ட போக்குவரத்து நிற்கிறது. கடினமான காலாவதி வரை செல்லும் திரும்பத் திரும்ப தோல்வியடைந்த விசை புதுப்பித்தல்கள் விசாரணைக்கான செயல்பாட்டு சமிக்ஞை, ஏனெனில் சுரங்கப்பாதை ஒவ்வொரு சுழற்சியிலும் ஒரு காலக்கெடுவில் நிற்கிறது.

பயன்பாட்டு வரம்புகள் எந்த கடிகாரத்திற்கும் முன் செயல்படலாம்

நேரம் ஒரே வரம்பு அல்ல. செயலாக்கங்கள் ஒரு விசையால் பாதுகாக்கப்படும் பைட்டுகள் அல்லது பாக்கெட்டுகளை வரம்பிடலாம், மேலும் பரபரப்பான சுரங்கப்பாதை பல மணி நேர டைமருக்கு முன்பே பயன்பாட்டு வரம்பை அடையும். strongSwan நேரம், பைட்டுகள் மற்றும் பாக்கெட்டுகளுக்கு தனித்தனி வாழ்நாள் மற்றும் விளிம்பு அமைப்புகளை வழங்குகிறது, அதாவது பயனுள்ள புதுப்பித்தல் புள்ளி முதலில் வரும் வரம்பு, கழித்தல் அமைக்கப்பட்ட விளிம்பு.

ஒரு சுரங்கப்பாதை அதன் அமைக்கப்பட்ட மணிநேரங்கள் குறிப்பதை விட மிக அடிக்கடி புதுப்பிக்கப்பட்டால், கடிகாரத்தை குறை சொல்வதற்கு முன் பைட் மற்றும் பாக்கெட் வரம்புகளைச் சரிபார்க்கவும். ஒரே நேர அமைப்புகளைக் கொண்ட நிறைவுற்ற இணைப்பு மற்றும் செயலற்ற இணைப்பு வெளிப்படையாக வேறுபட்ட விசை புதுப்பித்தல் விகிதங்களைக் கொண்டிருக்கும், அவற்றில் ஒன்று மட்டுமே டைமரைப் பின்பற்றுகிறது.

ஒவ்வொரு சகாவும் அதன் சொந்தக் கொள்கையைச் செயல்படுத்துகிறது

IKEv2 இரண்டு சகாக்களும் ஒரே மாதிரியாகக் காட்ட வேண்டிய ஒரே வாழ்நாளைப் பேச்சுவார்த்தை செய்யவில்லை. ஒவ்வொரு பக்கமும் அதன் உள்ளூர் கொள்கையைப் பயன்படுத்துகிறது, அதன் சொந்த வரம்பு நெருங்கும்போது மாற்றீட்டைத் தொடங்கலாம், RFC 7296 பிரிவு 2.8 இல் விவரிக்கப்பட்டுள்ளபடி. எனவே இரண்டு சகாக்களின் அமைக்கப்பட்ட மணிநேரங்களுக்கு இடையிலான வேறுபாடு தானாகவே குறைபாடு அல்ல, இருப்பினும் ஒரு பக்கம் மற்றொன்று இப்போது நிறுவிய நிலையைத் தொடர்ந்து மாற்றினால் மிக வேறுபட்ட மதிப்புகள் குழப்பத்தை உருவாக்கலாம்.

ஒருங்கிணைப்பு என்பது இணக்கமான நடத்தை: பரிமாற்றத்திற்கு போதுமான நீளமான மேலோட்ட சாளரங்கள், மீண்டும் முயல்வதற்கு இடம் விட்டு விளிம்புகள், மற்றும் ஒவ்வொரு புதுப்பித்தலையும் எந்தப் பக்கம் தொடங்கியது என்பதைக் காட்டும் கண்காணிப்பு.

விசை புதுப்பித்தல் மறு அங்கீகாரம் அல்ல

விசை புதுப்பித்தல் இருக்கும் அங்கீகரிக்கப்பட்ட உறவின் கீழ் விசைகளைப் புதுப்பிக்கிறது. மறு அங்கீகாரம் அடையாள சரிபார்ப்பை மீண்டும் செய்கிறது, அது சான்றிதழ் பரிமாற்றமோ EAP உரையாடலோ ஆகட்டும். இரண்டும் தனித்தனி அட்டவணைகளில் இயங்குகின்றன, வெற்றிகரமான புதுப்பித்தல் கணக்கிற்கு இன்னும் அணுகல் இருக்க வேண்டுமா என்பது பற்றி எதுவும் கூறவில்லை.

இந்த வேறுபாடு ரத்துசெய்வதற்கு முக்கியம். கணக்கை முடக்குதல், சான்றிதழை ரத்து செய்தல் அல்லது அமர்வை முடித்தல் ஆகியவை செயலாக்கத்தில் வெளிப்படையான கொள்கை தேவைப்படும் அணுகல் முடிவுகள்; அவை SA டைமரிலிருந்து வருவதில்லை, ஏற்கனவே உரிமைகள் பறிக்கப்பட்ட அடையாளத்திற்கும் விசை புதுப்பித்தல் அமைதியாகத் தொடரலாம்.

ஒவ்வொரு சுரங்கப்பாதைக்கும் என்ன பதிவு செய்ய வேண்டும்

எந்த இணைப்பு புதுப்பித்தலைத் தூண்டியது, பழைய மற்றும் புதிய அடையாளங்காட்டிகள், எந்த வரம்பு செயல்பட்டது மற்றும் மேலோட்டத்திற்குள் மாற்றீடு முடிந்ததா என்பதைப் பதிவு செய்யுங்கள். அந்த நான்கு புலங்கள் விசை புதுப்பித்தல் சிக்கலை இடையூறாக மாறுவதற்கு முன்பே தெரியச் செய்கின்றன, மேலும் ஆக்கிரமிப்பு கொள்கையை தோல்வியடையும் கொள்கையிலிருந்து வேறுபடுத்துகின்றன.

அணுகலை அகற்றும் அட்டவணையை அந்தப் பதிவுக்குள் அல்ல, அதன் அருகில் வைக்கவும். குறியாக்க சுகாதாரம் மற்றும் அடையாளக் கொள்கை வெவ்வேறு கட்டுப்பாடுகள், சரியான நேரத்தில் விசைகளைச் சுழற்றும் சுரங்கப்பாதையும் யாரும் வைத்திருக்க நினைக்காத அமர்வை இன்னும் வைத்திருக்கலாம்.