IKEv2: การหมุนเวียนคีย์กับการยืนยันตัวตนซ้ำ — ทำไมการเชื่อมต่อจึงหลุดภายหลัง

อุโมงค์ขึ้นมาตอนเช้าและทำงานได้หลายชั่วโมง จากนั้นก็หลุด เชื่อมต่อใหม่หลังพยายามหนึ่งครั้ง และทำแบบเดิมในวันถัดไป ไม่มีอะไรเปลี่ยนในเครือข่ายและไม่มีใครแตะรหัสผ่าน เซสชันที่ล้มเหลวที่ขอบเขตการหมุนเวียนมักข้ามหนึ่งในสองปฏิบัติการที่แตกต่างกัน และมีเพียงหนึ่งเดียวเท่านั้นที่ตรวจสอบข้อมูลรับรองของคุณใหม่ การอ่านว่าอันไหนถูกกระตุ้นคือการวินิจฉัยทั้งหมด

สองปฏิบัติการที่ดูคล้ายกันจากภายนอก

การหมุนเวียนคีย์แทนที่สมาคมความปลอดภัยหรือวัสดุคีย์ภายในการแลกเปลี่ยนที่โปรโตคอลกำหนด การพิสูจน์ตัวตนไม่ถูกทำซ้ำ ตัวตนที่ยอมรับเมื่อเริ่มเซสชันจึงถูกพาไปข้างหน้าอย่างเดียว

การยืนยันตัวตนซ้ำไปไกลกว่านั้น คือสร้างความสัมพันธ์ที่ผ่านการพิสูจน์ตัวตนใหม่ ซึ่งหมายความว่าข้อมูลรับรองถูกประเมินอีกครั้ง ทุกสิ่งที่หมดอายุ ถูกเพิกถอน หรือเปลี่ยนแปลงในไดเรกทอรีจะปรากฏในขณะนั้น

การหมุนเวียนคีย์แทนที่อะไรจริง ๆ

IKEv2 เก็บสมาคมสองประเภทที่มีวงจรชีวิตแยกกัน IKE SA ปกป้องช่องควบคุม และ CHILD SA ปกป้องทราฟฟิกจริง การหมุนเวียนอันหนึ่งไม่ใช่คำพ้องของการเชื่อมต่อไคลเอนต์ใหม่

การแยกนั้นอธิบายรูปแบบที่คุ้นเคย ทราฟฟิกไหลดี จากนั้น CHILD SA ถูกหมุนเวียนและข้อเสนอไม่ตรงอีกต่อไป เพราะมีคนแก้ไขเฟส 2 ด้านหนึ่งเมื่อหลายสัปดาห์ก่อน การเปลี่ยนแปลงนั้นนอนอยู่ตรงนั้นอย่างไม่เป็นอันตรายจนกว่าการหมุนเวียนจะได้ลองใช้

ความไม่ตรงกันของอายุการใช้งานก็ทำแบบเดียวกัน ฝ่ายที่ถึงขีดจำกัดก่อนจะเริ่มการแลกเปลี่ยน และอีกฝ่ายต้องยอมรับ

การยืนยันตัวตนซ้ำประเมินอะไรใหม่

เมื่อยืนยันตัวตนซ้ำ ใบรับรองไคลเอนต์ที่ใช้ได้ตอนเข้าสู่ระบบอาจหมดอายุแล้ว ข้อมูลรับรองที่ถูกเพิกถอน รหัสผ่านที่ถูกหมุน หรือปัจจัยที่สองที่ไม่พร้อมใช้งาน ล้วนโผล่ขึ้นที่นี่ ไม่ใช่ตอนหมุนเวียน

นั่นคือเหตุผลที่การยืดอายุการใช้งานทุกอันดูเหมือนการแก้ไข แต่ไม่ใช่ คุณเลื่อนการตรวจสอบแทนที่จะผ่านมัน การหมุนเวียนครั้งถัดไปมาพร้อมข้อบกพร่องเดิมและหน้าต่างหยุดชะงักที่สั้นลงเพื่อสังเกตเห็น

บางการใช้งานซ้อนสถานะเก่าและใหม่ระหว่างการยืนยันตัวตนซ้ำ บางอันสร้างช่องว่างสั้น ๆ การตั้งค่าเดียวกันบนผู้จำหน่ายสองรายจึงให้ประสบการณ์ผู้ใช้ต่างกันได้ ทดสอบพฤติกรรมแทนที่จะสมมติว่ามาตรฐานกำหนดไว้

อ่านตราเวลาก่อนเปลี่ยนอะไร

บันทึกช่วงเวลาที่ล้มเหลวพร้อมสถานะของสมาคมก่อนและหลัง หากสมาคมเก่าถูกแทนที่โดยไม่มีการแลกเปลี่ยนการพิสูจน์ตัวตน คุณอยู่ที่ขอบเขตการหมุนเวียน หากการแลกเปลี่ยน AUTH ปรากฏขึ้นก่อนความล้มเหลวเล็กน้อย คุณอยู่ที่การยืนยันตัวตนซ้ำ

strongSwan เปิดเผยสิ่งนี้เป็นการตั้งค่าแยก: rekey ควบคุมการหมุนเวียนคีย์ reauth ควบคุมว่าจะมีการพิสูจน์ตัวตนใหม่หรือไม่ และค่า margin กำหนดว่าแต่ละอันเริ่มก่อนหมดอายุนานเท่าใด เอกสารการหมุนเวียนคีย์ อธิบายปฏิสัมพันธ์ และควรอ่านก่อนคัดลอกอายุการใช้งานจากโพสต์ฟอรัม

แยกแยะทั้งหมดนี้ออกจากการสูญเสียแพ็กเก็ตของเครือข่ายธรรมดา ลิงก์ที่ขาดสร้างเหตุการณ์ตรวจจับคู่ที่ตายแล้วหรือพายุการส่งซ้ำ ไม่ใช่การแลกเปลี่ยนที่สะอาดพร้อมข้อเสนอที่ตรงกัน

เปลี่ยนสิ่งที่ล้มเหลว

การปฏิเสธข้อมูลรับรองต้องแก้ปัญหาตัวตน: ต่ออายุใบรับรอง คืนบัญชี ลงทะเบียนปัจจัยใหม่ ความไม่ตรงกันของข้อเสนอหรืออายุการใช้งานต้องเปรียบเทียบพารามิเตอร์ทั้งสองฝ่าย

การยืดอายุการใช้งานเพื่อเลี่ยงอาการเป็นทางเลือกเดียวที่ดูเหมือนได้ผลเสมอและไม่เคยได้ผล

ทดสอบการหมุนเวียนที่ควบคุมได้

บังคับให้การหมุนเวียนเกิดขึ้นแทนการรอหนึ่งวัน จากนั้นทำซ้ำด้วยการยืนยันตัวตนซ้ำหากการติดตั้งรองรับ และเฝ้าดูทั้งสองปลาย

การเข้าสู่ระบบครั้งแรกที่สำเร็จไม่ได้ฝึกอะไรเลย วงจรชีวิตหลังจากนั้นคือจุดที่การติดตั้งเหล่านี้พังจริง ๆ