IKEv2 میں SA کی عمر: نرم کلید تجدید، سخت میعاد ختم، الگ دوبارہ تصدیق

ٹائمر طے کرتے ہیں کہ سرنگ کی کلیدیں کب تبدیل ہوں، اور شامل دو حدیں اکثر ایک ہی پڑھی جاتی ہیں۔ وہ ایک نہیں ہیں۔ نرم عمر ساتھی سے کہتی ہے کہ موجودہ سلامتی انجمن ابھی ٹریفک لے جا رہی ہو تو متبادل بنائے، اور سخت عمر وہ آخری تاریخ ہے جس کے بعد پرانی انجمن ختم ہو جاتی ہے، چاہے متبادل کام کرے یا نہ کرے۔ ان کے درمیان ایک تداخل کی کھڑکی ہے جو اس لیے موجود ہے کہ پیکٹ کسی خلا میں نہ گریں۔

عمر واقعی کس چیز کو محدود کرتی ہے

IPsec سلامتی انجمن خفیہ نگاری کی حالت کا ایک بنڈل ہے: ایک سمت کے لیے کلیدیں، سلامتی پیرامیٹر کا اشاریہ، الگورتھم کا مجموعہ اور انتخاب کنندہ۔ عمر محدود کرتی ہے کہ اس حالت کو کتنی دیر استعمال کیا جا سکتا ہے، جس سے یہ محدود ہوتا ہے کہ ایک کلید کتنی ٹریفک محفوظ رکھتی ہے۔ یہ کلید کے لیے ایک روک تھام کا اقدام ہے، صارف کے سیشن کی مدت کے بارے میں کوئی بیان نہیں۔

IKE کنٹرول انجمنوں کی اپنی کلیدیں اور اپنی عمریں ہیں، جو ڈیٹا لے جانے والی چائلڈ انجمنوں سے الگ ہیں۔ یہیں لوگ دو نظام الاوقات کو ملا دیتے ہیں۔

نرم تبدیلی شروع کرتا ہے، سخت پرانی حالت ختم کرتا ہے

جب نرم حد قریب آتی ہے تو ساتھی تبدیلی شروع کرتا ہے۔ عمل درآمد عام طور پر جلدی فعال ہوتے ہیں اور لمحے کو بے ترتیب بناتے ہیں، تاکہ سینکڑوں سرنگوں والا مرکزی نوڈ سب کلیدیں ایک ساتھ تجدید نہ کرے۔ IKEv2 میں متبادل تازہ nonce لے جانے والا CREATE_CHILD_SA تبادلہ ہے، اور مکمل آگے کی رازداری ترتیب دی گئی ہو تو Diffie-Hellman تبادلہ بھی۔ نتیجہ نئی کلیدوں کے ساتھ نئی جوڑی انجمنوں کی صورت میں ہے۔

تداخل اہم ہے۔ تھوڑی دیر ساتھی پرانی اور نئی انجمن دونوں رکھ سکتا ہے، اور ایک گرفت شناخت کنندگان کے دو مجموعے دکھا سکتی ہے۔ یہ طریقہ کار کا کام کرنا ہے، خرابی نہیں۔

سخت حد معاف نہیں کرتی۔ اگر تب تک تبدیلی مکمل نہ ہو تو پرانی انجمن ریٹائر کرنا ہو گی اور صرف اسی سے محفوظ ٹریفک رک جاتی ہے۔ بار بار ناکام کلید تجدید جو سخت میعاد ختم تک جاتی ہے تحقیقات کے لیے عملی اشارہ ہیں، کیونکہ سرنگ ہر دور میں ایک آخری تاریخ پر کھڑی ہوتی ہے۔

استعمال کی حدیں کسی بھی گھڑی سے پہلے فعال ہو سکتی ہیں

وقت واحد حد نہیں۔ عمل درآمد ایک کلید سے محفوظ بائٹس یا پیکٹ محدود کر سکتے ہیں، اور مصروف سرنگ کئی گھنٹوں کے ٹائمر سے بہت پہلے استعمال کی حد تک پہنچ جائے گی۔ strongSwan وقت، بائٹس اور پیکٹ کے لیے الگ عمر اور مارجن کی ترتیبات دیتا ہے، یعنی موثر تجدید کا نقطہ وہ حد ہے جو پہلے آئے، منفی ترتیب شدہ مارجن۔

جب کوئی سرنگ اپنے ترتیب شدہ گھنٹوں کے اشارے سے کہیں زیادہ بار تجدید ہو، تو گھڑی کو قصوروار ٹھہرانے سے پہلے بائٹ اور پیکٹ کی حدیں دیکھیں۔ ایک ہی وقت کی ترتیبات والا مشبع لنک اور بیکار لنک واضح طور پر مختلف کلید تجدید کی شرحیں رکھیں گے، اور ان میں سے صرف ایک ٹائمر کی پیروی کرتا ہے۔

ہر ساتھی اپنی پالیسی نافذ کرتا ہے

IKEv2 ایک ہی عمر پر بات چیت نہیں کرتا جسے دونوں ساتھیوں کو یکساں ظاہر کرنا ہو۔ ہر فریق اپنی مقامی پالیسی لاگو کرتا ہے اور اپنی حد قریب آنے پر تبدیلی شروع کر سکتا ہے، جیسا کہ RFC 7296 حصہ 2.8 میں بیان ہوا ہے۔ لہٰذا دو ساتھیوں کے ترتیب شدہ گھنٹوں میں فرق خود بخود خرابی نہیں، تاہم بہت مختلف اقدار افراتفری پیدا کر سکتی ہیں اگر ایک فریق مسلسل وہ حالت بدلتا رہے جو دوسرے نے ابھی نصب کی ہے۔

ہم آہنگی کا مطلب موافق رویہ ہے: تبادلے کے لیے کافی لمبی تداخل کھڑکیاں، دوبارہ کوشش کے لیے جگہ چھوڑنے والا مارجن، اور نگرانی جو دکھائے کہ ہر تجدید کس فریق نے شروع کی۔

کلید تجدید دوبارہ تصدیق نہیں ہے

کلید تجدید موجودہ تصدیق شدہ تعلق کے تحت کلیدیں تازہ کرتی ہے۔ دوبارہ تصدیق شناخت کی جانچ دہراتی ہے، چاہے وہ سرٹیفکیٹ کا تبادلہ ہو یا EAP گفتگو۔ دونوں الگ نظام الاوقات پر چلتے ہیں اور کامیاب تجدید اس بارے میں کچھ نہیں کہتی کہ اکاؤنٹ کو ابھی بھی رسائی ہونی چاہیے یا نہیں۔

یہ فرق منسوخی کے لیے اہم ہے۔ اکاؤنٹ غیر فعال کرنا، سرٹیفکیٹ منسوخ کرنا یا سیشن ختم کرنا رسائی کے فیصلے ہیں جن کے لیے عمل درآمد میں واضح پالیسی درکار ہے؛ وہ SA ٹائمر سے نہیں آتے، اور کلید تجدید ایسی شناخت کے لیے بھی سکون سے جاری رہ سکتی ہے جس کے حقوق پہلے ہی چھن چکے ہیں۔

ہر سرنگ کے لیے کیا درج کریں

درج کریں کہ کس انجمن نے تجدید شروع کی، پرانے اور نئے شناخت کنندگان، کون سی حد فعال ہوئی اور کیا تداخل کے اندر تبدیلی مکمل ہوئی۔ وہ چار فیلڈز کلید تجدید کے مسئلے کو رکاوٹ بننے سے پہلے نظر آنے کے قابل بناتے ہیں، اور جارحانہ پالیسی کو ناکام پالیسی سے الگ کرتے ہیں۔

رسائی ہٹانے کا نظام الاوقات اس ریکارڈ کے اندر نہیں، بلکہ اس کے پاس رکھیں۔ خفیہ نگاری کی صفائی اور شناخت کی پالیسی الگ کنٹرول ہیں، اور وقت پر کلیدیں گھمانے والی سرنگ بھی ایسا سیشن رکھ سکتی ہے جو کسی نے برقرار رکھنے کا ارادہ نہیں کیا تھا۔