IKEv2: pag-renew ng mga key kumpara sa muling pagpapatotoo — bakit bumabagsak ang koneksyon mamaya

Bumangon ang tunnel sa umaga at gumagana nang maraming oras. Pagkatapos ay bumabagsak ito, muling kumokonekta pagkatapos ng isang pagsubok at ginagawa ang parehong bagay sa susunod na araw. Walang nagbago sa network at walang humawak ng password. Ang mga session na nabigo sa isang hangganan ng pag-renew ay karaniwang tumatawid sa isa sa dalawang magkaibang operasyon, at isa lamang sa kanila ang muling nagsusuri ng iyong mga kredensyal. Ang pagbasa kung alin ang na-trigger ay ang buong diagnosis.

Dalawang operasyon na magkamukha mula sa labas

Pinapalitan ng pag-renew ng key ang mga security association o materyal ng key sa loob ng palitan na tinukoy ng protocol. Hindi inuulit ang pagpapatotoo, kaya ang pagkakakilanlang tinanggap sa simula ng session ay dinadala lang pasulong.

Mas malayo ang muling pagpapatotoo: nagtatatag ito ng bagong authenticated na relasyon, na nangangahulugang muling sinusuri ang mga kredensyal. Anumang nag-expire, na-revoke o nabago sa direktoryo ay nagiging nakikita sa sandaling iyon.

Ano ang talagang pinapalitan ng pag-renew ng key

Nagtatago ang IKEv2 ng dalawang uri ng association na may hiwalay na life cycle. Pinoprotektahan ng IKE SA ang control channel, at ng CHILD SA ang aktwal na trapiko. Ang pag-renew ng isa ay hindi kasingkahulugan ng muling pagkonekta ng client.

Ipinapaliwanag ng paghihiwalay na iyon ang pamilyar na pattern: maayos ang daloy ng trapiko, pagkatapos ay ma-renew ang isang CHILD SA at hindi na magkatugma ang proposal dahil may nag-edit ng yugto 2 sa isang panig linggo ang nakalipas. Nanatili doon ang pagbabago nang walang pinsala hanggang sa sinubukan ito ng pag-renew.

Ganoon din ang pag-uugali ng mga hindi pagkakatugma ng tagal. Ang panig na unang umabot sa limitasyon nito ang nagsisimula ng palitan, at ang isa ay dapat tanggapin ito.

Ano ang muling tinatasa ng muling pagpapatotoo

Sa muling pagpapatotoo, ang client certificate na valid noong pag-login ay maaaring nag-expire na ngayon. Ang na-revoke na kredensyal, pinaikot na password o hindi available na pangalawang factor ay lumalabas lahat dito, hindi sa oras ng pag-renew.

Kaya't ang pagpahaba ng bawat tagal ay parang pag-aayos at hindi. Ipinaliban mo ang pagsusuri sa halip na ipasa ito. Ang susunod na pag-renew ay darating na may parehong depekto at may mas maikling window ng pagkaantala upang mapansin ito.

Ang ilang implementasyon ay nag-o-overlap ng luma at bagong estado sa panahon ng muling pagpapatotoo. Ang iba ay gumagawa ng maikling puwang. Kaya ang magkatulad na setting sa dalawang vendor ay maaaring magbigay ng magkaibang karanasan ng user. Subukan ang pag-uugali sa halip na ipagpalagay na itinatakda ito ng pamantayan.

Basahin ang mga timestamp bago baguhin ang anuman

Itala ang sandali ng pagpalya kasama ang estado ng association bago at pagkatapos. Kung ang lumang association ay pinalitan nang walang palitan ng pagpapatotoo, nasa hangganan ka ng pag-renew. Kung may palitan ng AUTH na lumilitaw bago mismo ang pagpalya, nasa muling pagpapatotoo ka.

Inilalantad ng strongSwan ito bilang magkahiwalay na setting: kinokontrol ng rekey ang pag-renew ng key, kinokontrol ng reauth kung may bagong pagpapatotoong nangyayari, at ang mga halaga ng margin ang nagtatakda kung gaano kalayo bago ang pag-expire nagsisimula ang bawat isa. ang dokumentasyon tungkol sa pag-renew ng key ay naglalarawan ng interaksyon, at sulit itong basahin bago kopyahin ang isang tagal mula sa isang post sa forum.

Ibahin ang lahat ng ito sa simpleng pagkawala ng network. Ang putol na link ay gumagawa ng event ng pagtukoy ng patay na peer o bagyo ng muling pagpapadala, hindi malinis na palitan na may tumutugmang proposal.

Baguhin ang bagay na nabigo

Ang pagtanggi sa kredensyal ay nangangailangan ng pag-aayos ng problema sa pagkakakilanlan: i-renew ang certificate, ibalik ang account, muling i-enrol ang factor. Ang hindi pagkakatugma ng proposal o tagal ay nangangailangan ng paghahambing ng mga parameter sa magkabilang panig.

Ang paghila ng mga tagal upang maiwasan ang sintomas ay ang tanging opsyon na laging parang gumana at hindi kailanman gumagana.

Subukan ang kontroladong pag-renew

Pilitin ang pag-renew sa halip na maghintay ng isang araw para dito. Pagkatapos ay ulitin gamit ang muling pagpapatotoo kung sinusuportahan ito ng deployment, at panoorin ang dalawang dulo.

Ang matagumpay na unang pag-login ay hindi nagsasanay ng anuman dito. Ang life cycle pagkatapos nito ang lugar kung saan talagang nasisira ang mga deployment na ito.