உங்கள் IPsec சுரங்கப்பாதை முதல் CHILD SA விசை புதுப்பிப்பு வரை மட்டுமே ஏன் வேலை செய்கிறது

சுரங்கப்பாதை மேலே வந்தது, ping பதிலளித்தது, அனைவரும் கையொப்பமிட்டனர். நான்கு மணி நேரம் கழித்து அமர்வு விழுகிறது, இரு தரப்பும் முன்மொழிவு அல்லது விசை-பரிமாற்றப் பிழையைப் பதிவு செய்கின்றன, முதல் ஊகம் பிணையத்தில் ஏதோ மாறியது என்பதாகும். எதுவும் மாறவில்லை. போக்குவரத்தைச் சுமக்கும் சுரங்கப்பாதை இரு தரப்பும் எவ்வாறு அங்கீகரிப்பது மற்றும் முதல் குழந்தைச் சங்கத்தை எவ்வாறு பாதுகாப்பது என்பதில் ஒத்துப்போகின்றன என்பதை நிரூபித்தது, புதுப்பிப்பில் அவர்கள் கோரப்போகும் விசை பரிமாற்றத்தைப் பற்றி எதையும் நிரூபிக்கவில்லை. பொருந்தாமை அந்த இரு நிகழ்வுகளுக்கு இடையிலான இடைவெளியில் அமர்ந்துள்ளது.

இணைக்கப்பட்டிருப்பது PFS அமைப்புகள் பொருந்துகின்றன என்று பொருள் அல்ல

IKEv2 இல், முதல் குழந்தைச் சங்கம் அங்கீகாரப் பரிமாற்றத்தின் போது உருவாக்கப்படுகிறது, அதன் விசைகள் IKE சங்கம் ஏற்கனவே உருவாக்கிய பொருளிலிருந்து பெறப்படுகின்றன. அந்தக் குழந்தைக்கு தனி Diffie-Hellman பரிமாற்றம் நடைபெறுவதில்லை, எனவே புதுப்பிப்பில் அதைக் கோரும் கொள்கை மேலெழுப்பின் போது சோதிக்கப்படுவதில்லை.

புதுப்பிப்பு வேறு பரிமாற்றம். குழந்தைச் சங்கத்தின் விசை புதுப்பிக்கப்படும்போது, தரப்புகள் தங்கள் முன்மொழிவுகளில் பெயரிடப்பட்ட குழுவுடன் புதிய விசைப் பரிமாற்றம் செய்யலாம், குழு அமைப்புகள் முதன்முதலில் ஒப்பிடப்படும் தருணம் அதுவே. எனவே ஒத்துப்போகாத இரு தரப்பும் அங்கீகரித்து, குழந்தைச் சங்கத்தை நிறுவி, போக்குவரத்தைக் கடத்தி, பின்னர் புதுப்பிப்பில் தோல்வியடையலாம்.

முன்மொழிவு சரத்தில் பொருந்தாமை எங்கு மறைந்துள்ளது

strongSwan இல் குழு குழந்தை முன்மொழிவில் சேர்க்கப்படுகிறது, அதனால்தான் aes256gcm16-prfsha256-ecp256 போன்ற சரம் மறையாக்கத் தேர்வாகத் தெரிகிறது ஆனால் விசை பரிமாற்றத் தேவையையும் சுமக்கிறது. வழங்குவது aes256gcm16-prfsha256 மட்டுமே எனில் அத்தகைய தேவை இல்லை, இரு பட்டியல்களும் மறையாக்கத்தில் சந்திக்கின்றன ஆனால் பரிமாற்றத்தில் வேறுபடுகின்றன.

குழந்தை முன்மொழிவையும் IKE முன்மொழிவையும் தனித்தனி பட்டியல்களாகப் படியுங்கள். IKE பட்டியலில் தோன்றும் குழு குழந்தைப் பட்டியலைப் பற்றி எதுவும் சொல்லாது, ஒன்றைப் படிக்கும்போது மற்றொன்றைத் திருத்துவதே இதைத் தவறவிடும் வழக்கமான வழி.

தோல்வியைப் படியுங்கள், நீங்கள் திருத்திய கோப்பை அல்ல

பரிமாற்றத்தை முடித்த notify ஐக் கண்டறியுங்கள். ஏற்கத்தக்க முன்மொழிவு இல்லை என்று திருப்பித் தரும் குழந்தை விசை புதுப்பிப்பு முன்மொழிவுப் பட்டியல்களைச் சுட்டுகிறது; பதிலே கிடைக்காத புதுப்பிப்புக் கோரிக்கை பாதையையோ கேட்பதை நிறுத்திய தரப்பையோ சுட்டுகிறது. இவை இரண்டிற்கும் வெவ்வேறு சரிசெய்தல் தேவை, பதிவு வரியின் சொற்கள் அவற்றைப் பிரிக்கின்றன.

வட்டில் உள்ளதை அல்ல, இயங்கும் கட்டமைப்பை உறுதிப்படுத்துங்கள். சேமிக்கப்பட்டு ஏற்றப்படாத கோப்பு, அல்லது வேறு include இலிருந்து மீண்டும் படிக்கப்பட்ட இணைப்பு, காட்சிக் கோப்பை எவ்வளவு திருத்தினாலும் சரிசெய்ய முடியாத பொருந்தாமையை உருவாக்கும்.

அனைவரும் விசை புதுப்பிப்பு என அழைக்கும் மூன்று நிகழ்வுகள்

IKE சங்க விசை புதுப்பிப்பு, IKE மறு-அங்கீகாரம் மற்றும் குழந்தைச் சங்க விசை புதுப்பிப்பு தனித்தனி முன்மொழிவு விதிகளைக் கொண்ட தனித்தனி செயல்பாடுகள். அவற்றில் ஒன்றில் பதிவாகும் தோல்வி மற்றவற்றைப் பற்றி நேரடியாக எதுவும் சொல்லாது, அவற்றைக் கலக்கும் பதிவு மூன்று இருக்கும்போது ஒரே திரும்பத் திரும்ப வரும் குறைபாடாகப் படிக்கப்படுகிறது.

தரப்பு எந்த நிகழ்வைப் பெயரிடுகிறது என்பதைக் கவனியுங்கள், பின்னர் அந்த நிகழ்வுக்கு மட்டும் முன்மொழிவுகளைச் சரிபாருங்கள். ஒரு பட்டியலை மாற்றி, மீண்டும் ஏற்றி, அதே நிகழ்வை மீண்டும் கட்டாயப்படுத்துங்கள். பதிவு மறு-அங்கீகாரத்தைப் பெயரிட்டால், IKE முன்மொழிவே படிக்க வேண்டியது. குழந்தை விசை புதுப்பிப்பைப் பெயரிட்டால், முக்கியமான குழுவைக் குழந்தை முன்மொழிவு சுமக்கிறது.

புதுப்பிப்பை அணைப்பது தீர்வு அல்ல

விசை புதுப்பிப்பு நேரத்தை பூஜ்ஜியமாக்குவது தோல்வியடையும் பரிமாற்றத்தை அடக்குகிறது, பின்னர் சுரங்கப்பாதை அது பிரிக்கப்படும் வரை அல்லது தரப்பு மீண்டும் தொடங்கும் வரை உயிர் வாழ்கிறது. நீங்கள் வாங்கியது நீண்ட ஆயுள் கொண்ட விசையும், இடமாற்றம், தணிக்கை அல்லது விற்பனையாளர் புதுப்பிப்பின் போது மீண்டும் உங்களைச் சந்திக்கும் பொருந்தாமையும் ஆகும். மறுதரப்பு எதிர்பார்க்கும் கொள்கையை விட மிக அதிகமாக நீட்டப்பட்ட ஆயுள்களுக்கும் இதுவே பொருந்தும்.

அதற்குப் பதிலாக முன்மொழிவுகளை ஒருங்கிணையுங்கள். இரு தரப்பும் செயல்படுத்தும் குழுவைத் தேர்ந்தெடுத்து, அதை இரு முனைகளிலும் குழந்தை முன்மொழிவில் வைத்து, புதுப்பிப்புக் கொள்கையை அமைப்பு உண்மையில் கோரும் வரம்பிற்குள் வைத்திருங்கள்.

தோல்வியடைந்த பரிமாற்றத்தால் அதை நிரூபியுங்கள்

பராமரிப்பு சாளரத்தில் குழந்தை விசை புதுப்பிப்பு நேரத்தைக் குறைத்து, நிகழ்வு மணிநேரங்களுக்குப் பதிலாக நிமிடங்களில் வரும்படி செய்யுங்கள், அல்லது கைமுறைக் குழந்தை விசை புதுப்பிப்பை இயக்குங்கள். பின்னர் வெற்றிகரமான புதுப்பிப்பைக் கவனித்து, போக்குவரத்து அதன் வழியாகத் தொடர்கிறது என்பதை உறுதிப்படுத்துங்கள், ஏனெனில் குழந்தைச் சங்கத்தை நிறுவி ஆனால் பயன்பாட்டு ஓட்டத்தை விட்டுவிடும் புதிய கைக்குலுக்கல் வேறு ஒரு குறைபாடு.

பின்னர் சாதாரண ஆயுளை மீட்டெடுத்து, தோல்வியடைந்த மற்றும் வெற்றிகரமான இரு நிகழ்வுப் பதிவுகளையும் வைத்திருங்கள். நீங்கள் விரும்பும் சான்று, இணைப்பு அதன் சொந்த வாழ்க்கைச் சுழற்சியைத் தாண்டி நிற்கிறது என்பதே, அது ping ஐத் தாண்டியது என்பது அல்ல.