IKEv2 లో SA జీవితకాలం: మృదువైన కీ నవీకరణ, కఠిన ముగింపు, ప్రత్యేక పునఃప్రామాణీకరణ

టైమర్లు సొరంగం కీలు ఎప్పుడు భర్తీ చేయబడతాయో నిర్ణయిస్తాయి, మరియు సంబంధిత రెండు పరిమితులు తరచుగా ఒకటిగానే చదవబడతాయి. అవి ఒకటి కావు. మృదువైన జీవితకాలం, ప్రస్తుత భద్రతా సంఘం ఇంకా ట్రాఫిక్ను మోస్తున్నప్పుడు సహచరుడిని భర్తీని నిర్మించమని కోరుతుంది, మరియు కఠిన జీవితకాలం అనేది భర్తీ పనిచేసిందో లేదో అనేది పరిగణించకుండా పాత సంఘం మాయమయ్యే గడువు. వాటి మధ్య ప్యాకెట్లు ఖాళీలో పడకుండా ఉండే ఒక అతివ్యాప్తి విండో ఉంది.

జీవితకాలం నిజంగా ఏమి పరిమితం చేస్తుంది

IPsec భద్రతా సంఘం అనేది గూఢలిపి స్థితి కట్ట: ఒక దిశకు కీలు, భద్రతా పరామితి సూచిక, అల్గోరిథం సమితి మరియు ఎంపికకర్త. జీవితకాలం ఆ స్థితిని ఎంతకాలం ఉపయోగించవచ్చో పరిమితం చేస్తుంది, ఇది ఒక కీ ఎంత ట్రాఫిక్ను రక్షిస్తుందో పరిమితం చేస్తుంది. ఇది కీ కోసం నిరోధక చర్య, వినియోగదారు సెషన్ ఎంతకాలం ఉండాలి అనే ప్రకటన కాదు.

IKE నియంత్రణ సంఘాలకు వాటి సొంత కీలు మరియు సొంత జీవితకాలాలు ఉంటాయి, అవి డేటాను మోసే చైల్డ్ సంఘాలకు భిన్నంగా. ఇక్కడే ప్రజలు రెండు షెడ్యూళ్లను కలిపేస్తారు.

మృదువైనది భర్తీని ప్రారంభిస్తుంది, కఠినమైనది పాత స్థితిని ముగిస్తుంది

మృదువైన పరిమితి దగ్గరగా వచ్చినప్పుడు సహచరుడు భర్తీని ప్రారంభిస్తాడు. అమలులు సాధారణంగా ముందుగానే పనిచేసి క్షణాన్ని యాదృచ్ఛికం చేస్తాయి, తద్వారా వందలాది సొరంగాలున్న ప్రధాన నోడ్ అన్ని కీలను ఒకేసారి నవీకరించదు. IKEv2 లో భర్తీ అనేది కొత్త nonce-లను మోసే CREATE_CHILD_SA మార్పిడి, మరియు పరిపూర్ణ ముందస్తు రహస్యత్వం సంరచించబడితే Diffie-Hellman మార్పిడి కూడా. ఫలితం కొత్త కీలతో కొత్త జంట సంఘాలు.

అతివ్యాప్తి ముఖ్యం. కొంతకాలం సహచరుడు పాత మరియు కొత్త సంఘాలను ఉంచుకోవచ్చు, మరియు ఒక క్యాప్చర్ రెండు సెట్ల గుర్తింపులను చూపవచ్చు. ఇది యంత్రాంగం పనిచేస్తున్నట్లు, లోపం కాదు.

కఠిన పరిమితి క్షమించదు. అప్పటికి భర్తీ పూర్తికాకపోతే, పాత సంఘం విరమించబడాలి మరియు దాని ద్వారా మాత్రమే రక్షించబడిన ట్రాఫిక్ ఆగిపోతుంది. కఠిన ముగింపు వరకు వెళ్లే పునరావృత విఫల కీ నవీకరణలు పరిశోధనకు కార్యాచరణ సంకేతం, ఎందుకంటే సొరంగం ప్రతి చక్రంలో ఒక గడువుపై నిలబడుతుంది.

వినియోగ పరిమితులు ఏ గడియారానికైనా ముందు పనిచేయవచ్చు

సమయం ఒక్కటే పరిమితి కాదు. అమలులు ఒక కీ రక్షించే బైట్లు లేదా ప్యాకెట్లను పరిమితం చేయవచ్చు, మరియు రద్దీగా ఉన్న సొరంగం అనేక గంటల టైమర్ కంటే చాలా ముందే వినియోగ పరిమితిని చేరుకుంటుంది. strongSwan సమయం, బైట్లు మరియు ప్యాకెట్లకు ప్రత్యేక జీవితకాలం మరియు మార్జిన్ సెట్టింగ్లను అందిస్తుంది, అంటే ప్రభావవంతమైన నవీకరణ బిందువు మొదట వచ్చే పరిమితి, మైనస్ సంరచిత మార్జిన్.

సొరంగం దాని సంరచిత గంటలు సూచించిన దానికంటే చాలా ఎక్కువసార్లు నవీకరించబడితే, గడియారాన్ని నిందించే ముందు బైట్ మరియు ప్యాకెట్ పరిమితులను తనిఖీ చేయండి. ఒకే సమయ సెట్టింగ్లున్న సంతృప్త లింక్ మరియు నిష్క్రియ లింక్ స్పష్టంగా భిన్నమైన కీ నవీకరణ రేట్లను కలిగి ఉంటాయి, మరియు వాటిలో ఒకటి మాత్రమే టైమర్ను అనుసరిస్తుంది.

ప్రతి సహచరుడు తన సొంత విధానాన్ని అమలు చేస్తాడు

IKEv2 రెండు సహచరులు ఒకేలా చూపించాల్సిన ఒకే జీవితకాలంపై చర్చలు చేయదు. ప్రతి వైపు తన స్థానిక విధానాన్ని వర్తింపజేస్తుంది మరియు తన పరిమితి దగ్గరగా వచ్చినప్పుడు భర్తీని ప్రారంభించవచ్చు, RFC 7296 విభాగం 2.8 లో వివరించినట్లు. కాబట్టి రెండు సహచరుల సంరచిత గంటల మధ్య భేదం స్వయంచాలకంగా లోపం కాదు, అయినప్పటికీ ఒక వైపు మరొకరు ఇప్పుడే ఇన్స్టాల్ చేసిన స్థితిని నిరంతరం భర్తీ చేస్తుంటే చాలా భిన్నమైన విలువలు గందరగోళాన్ని కలిగించవచ్చు.

సమన్వయం అంటే సరిపోయే ప్రవర్తన: మార్పిడికి తగినంత పొడవైన అతివ్యాప్తి విండోలు, మళ్లీ ప్రయత్నించడానికి స్థలం ఇచ్చే మార్జిన్లు, మరియు ప్రతి నవీకరణను ఏ వైపు ప్రారంభించిందో చూపించే పర్యవేక్షణ.

కీ నవీకరణ పునఃప్రామాణీకరణ కాదు

కీ నవీకరణ ఉన్న ప్రామాణీకృత సంబంధం కింద కీలను తాజాగా చేస్తుంది. పునఃప్రామాణీకరణ గుర్తింపు తనిఖీని పునరావృతం చేస్తుంది, అది ధృవపత్ర మార్పిడి అయినా EAP సంభాషణ అయినా. రెండూ ప్రత్యేక షెడ్యూళ్లలో నడుస్తాయి మరియు విజయవంతమైన నవీకరణ ఖాతాకు ఇంకా ప్రవేశం ఉండాలా అనే దానిపై ఏమీ చెప్పదు.

ఈ భేదం రద్దుకు ముఖ్యం. ఖాతాను నిష్క్రియం చేయడం, ధృవపత్రాన్ని రద్దు చేయడం లేదా సెషన్ను ముగించడం అనేవి అమలులో స్పష్టమైన విధానం అవసరమయ్యే ప్రవేశ నిర్ణయాలు; అవి SA టైమర్ నుండి రావు, మరియు ఇప్పటికే హక్కులు కోల్పోయిన గుర్తింపుకూ కీ నవీకరణ ప్రశాంతంగా కొనసాగవచ్చు.

ప్రతి సొరంగానికి ఏమి నమోదు చేయాలి

ఏ సంఘం నవీకరణను ప్రేరేపించింది, పాత మరియు కొత్త గుర్తింపులు, ఏ పరిమితి పనిచేసింది మరియు అతివ్యాప్తిలో భర్తీ పూర్తయిందా అనేది నమోదు చేయండి. ఆ నాలుగు ఫీల్డ్లు కీ నవీకరణ సమస్యను అంతరాయం కాకముందే కనిపించేలా చేస్తాయి, మరియు దాడి విధానాన్ని విఫలమయ్యే విధానం నుండి వేరు చేస్తాయి.

ప్రవేశాన్ని తొలగించే షెడ్యూల్ను ఆ నమోదు లోపల కాకుండా పక్కన ఉంచండి. గూఢలిపి పరిశుభ్రత మరియు గుర్తింపు విధానం వేర్వేరు నియంత్రణలు, మరియు సమయానికి కీలను తిప్పే సొరంగం కూడా ఎవరూ ఉంచాలని అనుకోని సెషన్ను ఇంకా ఉంచుకోవచ్చు.