IKEv2: anahtar yenileme ve yeniden kimlik doğrulama — bağlantı neden sonradan düşer

Tünel sabah açılır ve saatlerce çalışır. Sonra düşer, bir denemeden sonra yeniden bağlanır ve ertesi gün aynı şeyi yapar. Ağda hiçbir şey değişmedi ve kimse bir parolaya dokunmadı. Yenileme sınırında başarısız olan oturumlar genellikle iki farklı işlemden birini geçer ve bunlardan yalnızca biri kimlik bilgilerinizi yeniden denetler. Hangisinin tetiklendiğini okumak tüm tanıdır.

Dışarıdan benzer görünen iki işlem

Anahtar yenileme, protokolün tanımladığı değiş tokuş kapsamında güvenlik ilişkilerini veya anahtar malzemesini değiştirir. Kimlik doğrulama tekrarlanmaz, bu yüzden oturumun başında kabul edilen kimlik yalnızca ileri taşınır.

Yeniden kimlik doğrulama daha ileri gider: yeni ve doğrulanmış bir ilişki kurar, bu da kimlik bilgilerinin yeniden değerlendirildiği anlamına gelir. Süresi dolan, iptal edilen veya dizinde değişen her şey o anda görünür hale gelir.

Anahtar yenileme gerçekte neyi değiştirir

IKEv2 ayrı yaşam döngülerine sahip iki tür ilişki tutar. IKE SA kontrol kanalını korur ve CHILD SA gerçek trafiği korur. Birini yenilemek istemciyi yeniden bağlamakla eşanlamlı değildir.

Bu ayrım tanıdık bir örüntüyü açıklar: trafik iyi akar, sonra bir CHILD SA yenilenir ve öneri artık uyuşmaz çünkü biri haftalar önce bir tarafta 2. fazı düzenlemiştir. Değişiklik, yenileme onu uygulayana kadar orada zararsızca durdu.

Ömür uyuşmazlıkları da aynı şekilde davranır. Sınırına ilk ulaşan taraf değiş tokuşu başlatır ve diğeri bunu kabul etmek zorundadır.

Yeniden kimlik doğrulama neyi yeniden değerlendirir

Yeniden kimlik doğrulamada, oturum açma sırasında geçerli olan istemci sertifikası artık süresi dolmuş olabilir. İptal edilmiş bir kimlik bilgisi, döndürülmüş bir parola veya kullanılamayan ikinci bir faktör burada ortaya çıkar, yenileme anında değil.

Bu yüzden her ömrü uzatmak bir düzeltme gibi görünür ve değildir. Denetimi geçmek yerine ertelemiş oldunuz. Bir sonraki yenileme aynı kusurla ve onu fark etmek için daha kısa bir kesinti penceresiyle gelir.

Bazı uygulamalar yeniden kimlik doğrulama sırasında eski ve yeni durumu üst üste bindirir. Diğerleri kısa bir boşluk üretir. Bu nedenle iki satıcıdaki aynı ayarlar farklı kullanıcı deneyimleri verebilir. Standardın bunu emrettiğini varsaymak yerine davranışı test edin.

Bir şeyi değiştirmeden önce zaman damgalarını okuyun

Başarısızlık anını ilişkinin önceki ve sonraki durumuyla birlikte kaydedin. Eski ilişki bir kimlik doğrulama değiş tokuşu olmadan değiştirildiyse yenileme sınırındaydınız. Başarısızlıktan hemen önce bir AUTH değiş tokuşu görünüyorsa yeniden kimlik doğrulamadaydınız.

strongSwan bunu ayrı ayarlar olarak sunar: rekey anahtar yenilemeyi denetler, reauth yeni bir kimlik doğrulamanın olup olmadığını denetler ve margin değerleri her birinin sona ermeden ne kadar önce başladığını belirler. anahtar yenileme belgeleri etkileşimi açıklar ve bir forum gönderisinden ömür kopyalamadan önce okunmaya değer.

Bütün bunları basit bir ağ kaybından ayırın. Kopan bağlantı ölü eş algılama olayı veya bir yeniden gönderme fırtınası üretir, eşleşen önerilerle temiz bir değiş tokuş değil.

Başarısız olan şeyi değiştirin

Kimlik bilgisi reddi kimlik sorununun düzeltilmesini gerektirir: sertifikayı yenileyin, hesabı geri yükleyin, faktörü yeniden kaydedin. Öneri veya ömür uyuşmazlığı parametrelerin iki tarafta karşılaştırılmasını gerektirir.

Belirtiden kaçınmak için ömürleri germek, her zaman işe yaramış gibi görünen ve asla işe yaramayan tek seçenektir.

Kontrollü bir yenilemeyi test edin

Bir gün beklemek yerine yenilemeyi zorlayın. Sonra dağıtım destekliyorsa yeniden kimlik doğrulamayla yineleyin ve iki ucu da izleyin.

Başarılı bir ilk oturum açma bunların hiçbirini çalıştırmaz. Sonrasındaki yaşam döngüsü, bu dağıtımların gerçekten kırıldığı yerdir.