IKEv2: kalitlarni yangilash va qayta autentifikatsiya — ulanish nima uchun keyin uziladi

Tunnel ertalab ko‘tariladi va soatlab ishlaydi. Keyin uziladi, bitta urinishdan keyin qayta ulanadi va keyingi kuni ham xuddi shunday qiladi. Tarmoqda hech narsa o‘zgarmadi va hech kim parolga tegmadi. Yangilash chegarasida muvaffaqiyatsiz bo‘lgan sessiyalar odatda ikki xil operatsiyadan birini kesib o‘tadi va ulardan faqat bittasi sizning hisob ma’lumotlaringizni qayta tekshiradi. Qaysi biri ishga tushganini o‘qish — butun tashxis.

Tashqaridan bir xil ko‘rinadigan ikki operatsiya

Kalitlarni yangilash protokol belgilagan almashinuv doirasida xavfsizlik assotsiatsiyalari yoki kalit materialini almashtiradi. Autentifikatsiya takrorlanmaydi, shuning uchun sessiya boshida qabul qilingan identifikatsiya shunchaki oldinga olib o‘tiladi.

Qayta autentifikatsiya uzoqroqqa boradi: u yangi autentifikatsiyalangan munosabat o‘rnatadi, ya’ni hisob ma’lumotlari qayta baholanadi. Muddati o‘tgan, bekor qilingan yoki katalogda o‘zgargan har qanday narsa shu lahzada ko‘rinadi.

Kalitlarni yangilash aslida nimani almashtiradi

IKEv2 alohida hayot sikllariga ega ikki turdagi assotsiatsiyani saqlaydi. IKE SA boshqaruv kanalini himoya qiladi, CHILD SA esa haqiqiy trafikni. Birini yangilash mijozni qayta ulashning sinonimi emas.

Bu ajratish tanish naqshni tushuntiradi: trafik yaxshi oqadi, keyin bitta CHILD SA yangilanadi va taklif endi mos kelmaydi, chunki kimdir haftalar oldin bir tomondan 2-bosqichni tahrirlagan. O‘zgarish yangilash uni ishga solguncha u yerda zararsiz yotdi.

Muddat nomuvofiqliklari ham xuddi shunday yo‘l tutadi. Qaysi tomon o‘z chegarasiga birinchi yetsa, almashinuvni boshlaydi, ikkinchisi esa uni qabul qilishi kerak.

Qayta autentifikatsiya nimani qayta baholaydi

Qayta autentifikatsiyada kirish paytida amal qilgan mijoz sertifikati endi muddati o‘tgan bo‘lishi mumkin. Bekor qilingan hisob ma’lumoti, almashtirilgan parol yoki mavjud bo‘lmagan ikkinchi omil — barchasi shu yerda chiqadi, yangilash paytida emas.

Shuning uchun har bir muddatni uzaytirish tuzatishdek tuyuladi va unday emas. Siz tekshiruvni o‘tish o‘rniga kechiktirdingiz. Keyingi yangilash xuddi shu nuqson bilan va uni payqash uchun qisqaroq uzilish oynasi bilan keladi.

Ba’zi amalga oshirishlar qayta autentifikatsiya vaqtida eski va yangi holatni ustma-ust qo‘yadi. Boshqalari qisqa bo‘shliq hosil qiladi. Shuning uchun ikki yetkazib beruvchida bir xil sozlamalar turli foydalanuvchi tajribasini berishi mumkin. Standart shuni talab qiladi deb o‘ylash o‘rniga xatti-harakatni sinab ko‘ring.

Biror narsani o‘zgartirishdan oldin vaqt belgilarini o‘qing

Muvaffaqiyatsizlik lahzasini assotsiatsiyaning oldingi va keyingi holati bilan birga yozib oling. Agar eski assotsiatsiya autentifikatsiya almashinuvisiz almashtirilgan bo‘lsa, siz yangilash chegarasida edingiz. Agar muvaffaqiyatsizlikdan sal oldin AUTH almashinuvi paydo bo‘lsa, siz qayta autentifikatsiyada edingiz.

strongSwan buni alohida sozlamalar sifatida ko‘rsatadi: rekey kalitlarni yangilashni boshqaradi, reauth yangi autentifikatsiya bo‘ladimi-yo‘qmi shuni boshqaradi, margin qiymatlari esa har biri muddat tugashidan qancha oldin boshlanishini belgilaydi. kalitlarni yangilash hujjatlari o‘zaro ta’sirni tavsiflaydi va forum xabaridan muddat nusxalashdan oldin uni o‘qishga arziydi.

Bularning barchasini oddiy tarmoq yo‘qotishidan ajrating. Uzilgan aloqa o‘lik hamkor aniqlash hodisasi yoki qayta yuborish bo‘ronini keltirib chiqaradi, mos takliflar bilan toza almashinuv emas.

Muvaffaqiyatsiz bo‘lgan narsani o‘zgartiring

Hisob ma’lumotlarini rad etish identifikatsiya muammosini tuzatishni talab qiladi: sertifikatni yangilang, hisobni tiklang, omilni qayta ro‘yxatdan o‘tkazing. Taklif yoki muddat nomuvofiqligi ikki tomondagi parametrlarni solishtirishni talab qiladi.

Alomatdan qochish uchun muddatlarni cho‘zish — har doim ishlagandek ko‘rinadigan va hech qachon ishlamaydigan yagona variant.

Nazorat qilinadigan yangilashni sinab ko‘ring

Bir kun kutish o‘rniga yangilashni majburlang. So‘ng agar joylashtirish qo‘llab-quvvatlasa, qayta autentifikatsiya bilan takrorlang va ikkala uchini kuzating.

Muvaffaqiyatli birinchi kirish bundan hech narsani mashq qilmaydi. Undan keyingi hayot sikli — bu joylashtirishlar haqiqatan buziladigan joy.