Muling pag-key, muling pagkonekta o muling pagpapatunay: alin ang kailangan mo?

Ang sesyon na tumatakbo nang maraming oras ay hindi mananatili sa parehong mga key magpakailanman, at ito ay sinasadya. Tatlong magkakaibang pangyayari ang tinatawag na key rotation: bagong session material sa ilalim ng umiiral na asosasyon, buong muling pagtatayo ng koneksyon, at pag-uulit ng pagsusuri ng pagkakakilanlan. Bawat isa ay may ibang trigger, ibang gastos at ibang tanda ng pagpalya. Pumili ng mali at ang pagwawasto ay wala mang gagawin o ibabagsak ang tunnel nang walang dahilan.

Nakasalalay ang desisyon sa kung aling layer ang talagang nag-expire.

Tatlong operasyong tinatawag na rotation

Ang muling pag-key ay lumilikha ng mga bagong traffic key sa loob ng umiiral na relasyon ng kontrol, gamit ang mekanismong tinutukoy ng protocol. Ginagawa ito ng IKEv2 gamit ang bagong child security association, ng TLS 1.3 gamit ang key update message, at ng WireGuard gamit ang bagong handshake kapag naabot na ang mga limitasyon nito sa oras o mensahe. Nananatili sa dati ang mga address ng tunnel at ang na-authenticate na pagkakakilanlan.

Itinatapon ng muling pagkonekta ang koneksyon at itinatayo itong muli mula sa simula, na inuulit ang pagtatalaga ng address, pag-install ng ruta at anumang negosasyon na ginawa ng unang pagtatangka.

Inuulit ng muling pagpapatunay ang mismong patunay ng pagkakakilanlan, na maaaring may kredensyal, sertipiko o pangalawang salik. Maaari itong mangyari kasama o walang muling pagkonekta, depende sa produkto.

Ano ang napapansin ng mga user sa pag-renew

Dapat halos hindi makita ang muling pag-key. Nagbabago ang mga identifier ng asosasyon, maaaring ma-reset ang mga counter, at pinapanatili ng mga application ang kanilang mga socket; normal ang maikling paghinto sa isang direksyon habang nagpapalitan. Ang pagkitang ng bagong identifier sa listahan ng status ay hindi patunay ng sira. Ang linya ng log na sumusunod sa pagpapalitan ang nagsasabi kung natapos ito.

Ang tunay na pagputol sa pag-renew ay tumuturo sa isang tiyak na lugar. Ang hindi pagtutugma ng panukala, nag-expire na kredensyal o pagbabago ng landas ay bawat isang gumagawa ng ibang linya ng log, at isa lamang sa mga ito ang naaayos sa pamamagitan ng pag-adjust ng mga tagal.

Saan nagkakaiba ang tatlo sa praktika

Kung ang tanging nag-expire ay materyal ng key, mag-muling pag-key. Kung nagbago ang address ng peer, ruta o NAT binding at hindi na dumarating ang mga packet, muling kumonekta. Kung hinihingi ng organisasyon ang pana-panahong pagsusuri ng pagkakakilanlan, iyon ay muling pagpapatunay at walang pag-adjust ng tagal ang pumapalit dito.

Ang mga default ng protocol ay karaniwang naglalaman ng tamang sagot. Ang WireGuard ay nagpapalit ng key pagkatapos ng hangganan sa oras at dami ng data nang walang aksyon ng user; ang mga tagal ng IKEv2 ay pinag-uusapan kada child association; ang mga tunnel na batay sa TLS ay nagrorotate ng key sa loob ng umiiral na sesyon. Ang pagtataas ng mga tagal upang maiwasan ang paulit-ulit na error ay nagpapaliban ng pagpalya at nagpapahaba ng pagkakalantad kung makompromiso ang isang key.

May isang paalala na mahalaga sa mahahabang sesyon: ang dalas lamang ay hindi lumilikha ng forward secrecy. Nakasalalay ang katangiang ito sa kung paano nauugnay ang mga key ng sesyon sa mga pangmatagalang lihim at kung nawawasak ang mga lumang key, na isang usapin ng disenyo at implementasyon, hindi ng setting.

Pumili ng mga default, pagkatapos itala ang yugto

Panatilihin ang mga default ng vendor maliban kung may nakadokumentong pangangailangan na nagsasabi ng iba, at kung babaguhin mo ang mga tagal, baguhin sa magkabilang panig. Pagkatapos itala kung aling yugto ang naabot ng bawat pangyayari, upang masuri ang susunod na pagkakataon laban sa parehong punto sa handshake.

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

Pagkatapos ng pagwawasto, magsagawa ng kontroladong pag-renew at magpadala ng bagong traffic ng application sa bagong asosasyon. Ang tunnel na nag-uulat na naitatag ngunit walang ipinapasa ay ang pagpalyang ito ang dahilan ng pagsusuring ito.