IKEv2: کلیدوں کی تجدید بمقابلہ دوبارہ توثیق — رابطہ بعد میں کیوں ٹوٹتا ہے

سرنگ صبح اٹھتی ہے اور گھنٹوں کام کرتی ہے۔ پھر وہ گر جاتی ہے، ایک کوشش کے بعد دوبارہ جڑ جاتی ہے اور اگلے دن بھی وہی کرتی ہے۔ نیٹ ورک پر کچھ نہیں بدلا اور کسی نے پاس ورڈ کو نہیں چھوا۔ تجدید کی حد پر ناکام ہونے والے سیشن عام طور پر دو مختلف کارروائیوں میں سے ایک کو عبور کرتے ہیں، اور ان میں سے صرف ایک ہی آپ کے اسناد کو دوبارہ جانچتا ہے۔ کون سی متحرک ہوئی یہ پڑھنا ہی پوری تشخیص ہے۔

دو کارروائیاں جو باہر سے ایک جیسی لگتی ہیں

کلیدوں کی تجدید پروٹوکول کے متعین کردہ تبادلے کے تحت حفاظتی انجمنوں یا کلیدی مواد کو بدلتی ہے۔ توثیق دہرائی نہیں جاتی، اس لیے سیشن کے آغاز میں قبول کی گئی شناخت بس آگے لے جائی جاتی ہے۔

دوبارہ توثیق اس سے آگے جاتی ہے: یہ نیا توثیق شدہ تعلق قائم کرتی ہے، یعنی اسناد کا دوبارہ جائزہ لیا جاتا ہے۔ جو ختم ہو گیا، منسوخ ہو گیا یا ڈائریکٹری میں بدل گیا، وہ اسی لمحے ظاہر ہوتا ہے۔

کلیدوں کی تجدید دراصل کیا بدلتی ہے

IKEv2 الگ زندگی کے چکروں والی دو قسم کی انجمنیں رکھتا ہے۔ IKE SA کنٹرول چینل کی حفاظت کرتا ہے، اور CHILD SA اصل ٹریفک کی۔ ایک کی تجدید کرنا کلائنٹ کو دوبارہ جوڑنے کا مترادف نہیں۔

یہ علیحدگی ایک مانوس نمونہ بتاتی ہے: ٹریفک اچھی طرح بہتی ہے، پھر ایک CHILD SA تجدید ہو جاتی ہے اور تجویز مزید نہیں ملتی کیونکہ کسی نے ہفتے پہلے ایک طرف مرحلہ 2 میں ترمیم کی تھی۔ وہ تبدیلی تجدید کے استعمال کرنے تک وہاں بے ضرر پڑی رہی۔

مدتِ زندگی کے عدم توازن بھی ایسے ہی برتاؤ کرتے ہیں۔ جو فریق پہلے اپنی حد تک پہنچے وہ تبادلہ شروع کرتا ہے، اور دوسرے کو اسے قبول کرنا ہوتا ہے۔

دوبارہ توثیق کیا دوبارہ جانچتی ہے

دوبارہ توثیق کے ساتھ، لاگ ان کے وقت کارآمد کلائنٹ سرٹیفکیٹ اب ختم ہو چکا ہو سکتا ہے۔ منسوخ شدہ اسناد، بدلا ہوا پاس ورڈ یا دستیاب نہ ہونے والا دوسرا عنصر سب یہیں سامنے آتے ہیں، تجدید کے وقت نہیں۔

اسی لیے ہر مدتِ زندگی بڑھانا اصلاح جیسا لگتا ہے اور ہے نہیں۔ آپ نے جانچ پاس کرنے کے بجائے ملتوی کی۔ اگلی تجدید اسی نقص کے ساتھ اور اسے محسوس کرنے کے لیے چھوٹی رکاوٹ کی کھڑکی کے ساتھ آتی ہے۔

کچھ نفاذ دوبارہ توثیق کے دوران پرانی اور نئی حالت کو اوورلیپ کرتے ہیں۔ دیگر مختصر خلا پیدا کرتے ہیں۔ اس لیے دو فروشندوں پر یکساں ترتیبات مختلف صارف تجربہ دے سکتی ہیں۔ معیار یہی کہتا ہے یہ ماننے کے بجائے رویے کی جانچ کریں۔

کچھ بھی بدلنے سے پہلے ٹائم اسٹیمپ پڑھیں

ناکامی کا لمحہ انجمن کی پہلے اور بعد کی حالت کے ساتھ ریکارڈ کریں۔ اگر پرانی انجمن توثیقی تبادلے کے بغیر بدلی گئی، تو آپ تجدید کی حد پر تھے۔ اگر ناکامی سے عین پہلے AUTH تبادلہ ظاہر ہو، تو آپ دوبارہ توثیق پر تھے۔

strongSwan اسے الگ ترتیبات کے طور پر پیش کرتا ہے: rekey کلیدوں کی تجدید کو کنٹرول کرتا ہے، reauth کنٹرول کرتا ہے کہ نئی توثیق ہوتی ہے یا نہیں، اور margin اقدار طے کرتی ہیں کہ ہر ایک اختتام سے کتنا پہلے شروع ہوتا ہے۔ کلیدوں کی تجدید کی دستاویز تعامل بیان کرتی ہے، اور فورم کی پوسٹ سے مدتِ زندگی نقل کرنے سے پہلے اسے پڑھنا مناسب ہے۔

ان سب کو عام نیٹ ورک نقصان سے الگ رکھیں۔ ٹوٹا ہوا لنک مردہ ساتھی کی شناخت کا واقعہ یا دوبارہ بھیجنے کا طوفان پیدا کرتا ہے، ملتی جلتی تجاویز کے ساتھ صاف تبادلہ نہیں۔

جو ناکام ہوا اسے بدلیں

اسناد کی مسترد ہونے کے لیے شناخت کا مسئلہ درست کرنا ہوتا ہے: سرٹیفکیٹ کی تجدید کریں، اکاؤنٹ بحال کریں، عنصر دوبارہ رجسٹر کریں۔ تجویز یا مدتِ زندگی کے عدم توازن کے لیے دونوں طرف کے پیرامیٹرز کا موازنہ کرنا ہوتا ہے۔

علامت سے بچنے کے لیے مدتِ زندگی کھینچنا وہ واحد آپشن ہے جو ہمیشہ کامیاب لگتا ہے اور کبھی کامیاب نہیں ہوتا۔

کنٹرول شدہ تجدید کی جانچ کریں

ایک دن انتظار کرنے کے بجائے تجدید کو مجبور کریں۔ پھر اگر تعیناتی معاونت کرے تو دوبارہ توثیق کے ساتھ دہرائیں، اور دونوں سروں کو دیکھیں۔

کامیاب ابتدائی لاگ ان ان میں سے کچھ بھی مشق نہیں کرتا۔ اس کے بعد کا زندگی کا چکر ہی وہ جگہ ہے جہاں یہ تعیناتیاں واقعی ٹوٹتی ہیں۔