دوبارہ کلید، دوبارہ رابطہ یا دوبارہ توثیق: آپ کو کون سی چاہیے؟

گھنٹوں چلنے والا سیشن ہمیشہ وہی کلیدیں نہیں رکھے گا، اور یہ جان بوجھ کر ہے۔ تین مختلف واقعات کو کلید کی گردش کہا جاتا ہے: موجودہ انجمن کے تحت نئی سیشن مواد، رابطے کی مکمل تعمیر نو، اور شناخت کی جانچ کا اعادہ۔ ہر ایک کا محرک، لاگت اور ناکامی کا نشان الگ ہے۔ غلط چنا تو درستگی یا کچھ نہیں کرے گی یا بلا وجہ ٹنل گرا دے گی۔

فیصلہ اس بات پر منحصر ہے کہ درحقیقت کون سی تہہ ختم ہوئی ہے۔

وہ تین کارروائیاں جنہیں گردش کہا جاتا ہے

دوبارہ کلید موجودہ کنٹرول تعلق کے اندر پروٹوکول کے متعین کردہ طریقے سے نئی ٹریفک کلیدیں بناتی ہے۔ IKEv2 یہ نئی چائلڈ سیکیورٹی انجمن سے کرتا ہے، TLS 1.3 کلید کی تازہ کاری کے پیغام سے، اور WireGuard اپنی وقت یا پیغام کی حد پوری ہونے پر نئے ہینڈ شیک سے۔ ٹنل کے پتے اور تصدیق شدہ شناخت اپنی جگہ پر رہتے ہیں۔

دوبارہ رابطہ رابطے کو چھوڑ کر اسے شروع سے نئے سرے سے بناتا ہے، جس سے پتہ تفویض، روٹنگ کی تنصیب اور پہلی کوشش کی ہر گفت و شنید دہرائی جاتی ہے۔

دوبارہ توثیق شناخت کا ثبوت ہی دہراتی ہے، جس میں اسناد، سرٹیفکیٹ یا دوسرا عنصر شامل ہو سکتا ہے۔ مصنوعات کے مطابق یہ دوبارہ رابطے کے ساتھ یا اس کے بغیر ہو سکتی ہے۔

تجدید کے وقت صارفین کیا محسوس کرتے ہیں

دوبارہ کلید تقریباً نظر نہیں آنی چاہیے۔ انجمن کے شناخت کنندہ بدلتے ہیں، شمارندے ری سیٹ ہو سکتے ہیں، اور ایپلیکیشنز اپنے ساکٹ رکھتی ہیں؛ تبادلے کے دوران ایک سمت میں مختصر وقفہ معمول ہے۔ حالت کی فہرست میں نیا شناخت کنندہ دیکھنا خرابی کا ثبوت نہیں۔ تبادلے کے بعد کی لاگ سطر ہی بتاتی ہے کہ وہ مکمل ہوا یا نہیں۔

تجدید کے وقت حقیقی منقطع ہونا کسی مخصوص جگہ کی طرف اشارہ کرتا ہے۔ تجویز کا عدم مطابقت، میعاد ختم شدہ اسناد یا راستے کی تبدیلی ہر ایک الگ لاگ سطر بناتی ہے، اور ان میں سے صرف ایک ہی دورانیے کو ایڈجسٹ کر کے درست ہوتی ہے۔

عملی طور پر تینوں کہاں الگ ہوتے ہیں

اگر میعاد ختم ہونے والی واحد چیز کلید کا مواد ہے تو دوبارہ کلید کریں۔ اگر ہم منصب کا پتہ، راستہ یا NAT بائنڈنگ بدل گئی ہے اور پیکٹ اب نہیں آتے تو دوبارہ رابطہ کریں۔ اگر ادارہ وقتی شناخت جانچ کا تقاضا کرتا ہے تو وہ دوبارہ توثیق ہے اور کوئی دورانیہ ایڈجسٹمنٹ اس کا متبادل نہیں۔

پروٹوکول کی طے شدہ قدریں عام طور پر درست جواب رکھتی ہیں۔ WireGuard صارف کی کارروائی کے بغیر وقت اور ڈیٹا حجم کی حد کے بعد کلیدیں بدلتا ہے؛ IKEv2 کے دورانیے ہر چائلڈ انجمن کے لیے طے ہوتے ہیں؛ TLS پر مبنی ٹنل موجودہ سیشن کے اندر ہی کلیدیں گھماتے ہیں۔ بار بار آنے والی خرابی سے بچنے کے لیے دورانیے بڑھانا ناکامی کو مؤخر کرتا ہے اور کلید لیک ہونے پر نمائش کو لمبا کرتا ہے۔

لمبے سیشنوں کے لیے ایک انتباہ اہم ہے: صرف تکرار آگے کی رازداری پیدا نہیں کرتی۔ یہ خصوصیت اس پر منحصر ہے کہ سیشن کی کلیدیں طویل مدتی رازوں سے کیسے متعلق ہیں اور پرانی کلیدیں تلف کی جاتی ہیں یا نہیں، جو ترتیب نہیں بلکہ ڈیزائن اور نفاذ کا سوال ہے۔

طے شدہ قدریں چنیں، پھر مرحلہ درج کریں

دستاویزی تقاضا مختلف نہ کہے تو فروش کی طے شدہ قدریں رکھیں، اور اگر دورانیے بدلنے ہیں تو دونوں اطراف بدلیں۔ پھر درج کریں کہ ہر واقعہ کس مرحلے تک پہنچا، تاکہ اگلی بار اسی ہینڈ شیک نقطے سے موازنہ کیا جا سکے۔

swanctl --list-sas
ip xfrm state | grep -E 'proto|replay-window'
wg show
journalctl -u strongswan --since '1 hour ago' | grep -i -E 'rekey|rekeyed|child'

درستگی کے بعد ایک کنٹرول شدہ تجدید کریں اور نئی انجمن کے ذریعے تازہ ایپلیکیشن ٹریفک بھیجیں۔ جو ٹنل خود کو قائم بتاتی ہے مگر کچھ آگے نہیں بھیجتی، وہی ناکامی ہے جسے پکڑنے کے لیے یہ جانچ ہے۔