IKEv2 da SA umri: yumshoq kalit yangilash, qattiq muddat tugashi, alohida qayta autentifikatsiya

Taymerlar tunnel kalitlari qachon almashtirilishini belgilaydi, va ishtirok etuvchi ikki chegara ko'pincha bitta deb o'qiladi. Unday emas. Yumshoq umr joriy xavfsizlik birlashmasi hali trafik tashiyotganda sherikdan almashtirish qurishni so'raydi, qattiq umr esa almashtirish ishlagan yoki ishlamaganidan qat'i nazar eski birlashma yo'qoladigan muddatdir. Ular orasida paketlar bo'shliqqa tushmasligi uchun qoplanish oynasi bor.

Umr aslida nimani cheklaydi

IPsec xavfsizlik birlashmasi kriptografik holat bog'lami: bir yo'nalish uchun kalitlar, xavfsizlik parametrlari indeksi, algoritmlar to'plami va tanlagich. Umr bu holatdan qancha vaqt foydalanish mumkinligini cheklaydi, bu esa bitta kalit qancha trafikni himoya qilishini cheklaydi. Bu kalit uchun cheklov chorasi, foydalanuvchi sessiyasi qancha davom etishi kerakligi haqidagi bayonot emas.

IKE boshqaruv birlashmalarining o'z kalitlari va o'z umrlari bor, ular ma'lumot tashuvchi bola birlashmalardan alohida. Bu yerda odamlar ikki jadvalni aralashtiradi.

Yumshoq almashtirishni boshlaydi, qattiq eski holatni tugatadi

Yumshoq chegara yaqinlashganda sherik almashtirishni boshlaydi. Amalga oshirishlar odatda erta ishga tushadi va lahzani tasodifiylashtiradi, shunda yuzlab tunnelli tugun barcha kalitlarni bir vaqtda yangilamaydi. IKEv2 da almashtirish yangi nonce tashuvchi CREATE_CHILD_SA almashinuvi, mukammal forward maxfiylik sozlangan bo'lsa Diffie-Hellman almashinuvi ham qo'shiladi. Natija yangi kalitlarga ega yangi juft birlashma.

Qoplanish muhim. Qisqa vaqt sherik eski va yangi birlashmalarni ushlab turishi mumkin, va yozib olish ikki to'plam identifikatorlarni ko'rsatishi mumkin. Bu mexanizmning ishlashi, nosozlik emas.

Qattiq chegara kechirmaydi. Agar almashtirish shu vaqtgacha tugamagan bo'lsa, eski birlashma chiqarilishi kerak va faqat u bilan himoyalangan trafik to'xtaydi. Qattiq muddat tugashigacha davom etadigan takroriy muvaffaqiyatsiz kalit yangilashlar tekshirish uchun operatsion signal, chunki tunnel har siklda bir muddatga tayanadi.

Foydalanish chegaralari har qanday soatdan oldin ishga tushishi mumkin

Vaqt yagona chegara emas. Amalga oshirishlar bitta kalit himoya qiladigan bayt yoki paketlarni cheklashi mumkin, va band tunnel ko'p soatlik taymerdan ancha oldin foydalanish chegarasiga yetadi. strongSwan vaqt, bayt va paketlar uchun alohida umr va marja sozlamalarini taqdim etadi, ya'ni samarali yangilash nuqtasi birinchi keladigan chegara, minus sozlangan marja.

Tunnel sozlangan soatlar ishora qilganidan ancha tez-tez yangilansa, soatni ayblashdan oldin bayt va paket chegaralarini tekshiring. Bir xil vaqt sozlamalari bilan to'yingan aloqa va bo'sh aloqa sezilarli farq qiluvchi kalit yangilash sur'atiga ega bo'ladi, va ulardan faqat bittasi taymerga ergashadi.

Har bir sherik o'z siyosatini qo'llaydi

IKEv2 ikkala sherik ham bir xil ko'rsatishi shart bo'lgan yagona umr haqida kelishmaydi. Har bir tomon o'z mahalliy siyosatini qo'llaydi va o'z chegarasi yaqinlashganda almashtirishni boshlashi mumkin, RFC 7296 2.8 bo'limida tasvirlanganidek. Shuning uchun ikki sherikning sozlangan soatlari o'rtasidagi nomuvofiqlik avtomatik ravishda nuqson emas, garchi juda farqli qiymatlar bir tomon ikkinchisi hozir o'rnatgan holatni doimiy almashtirsa tartibsizlik keltirishi mumkin.

Muvofiqlashtirish mos xatti-harakatni anglatadi: almashinuv uchun yetarlicha uzun qoplanish oynalari, qayta urinish uchun joy qoldiradigan marjalar, va har bir yangilanishni qaysi tomon boshlaganini ko'rsatadigan monitoring.

Kalit yangilash qayta autentifikatsiya emas

Kalit yangilash mavjud autentifikatsiya qilingan munosabat doirasida kalitlarni yangilaydi. Qayta autentifikatsiya shaxs tekshiruvini takrorlaydi, u sertifikat almashinuvi bo'ladimi yoki EAP suhbati. Ikkalasi alohida jadvallarda ishlaydi va muvaffaqiyatli yangilash hisob hali ham kirish huquqiga ega bo'lishi kerakmi degan savolga hech narsa demaydi.

Bu farq bekor qilish uchun muhim. Hisobni o'chirish, sertifikatni bekor qilish yoki sessiyani tugatish amalga oshirishda aniq siyosat talab qiladigan kirish qarorlari; ular SA taymeridan kelib chiqmaydi, va kalit yangilash huquqlari allaqachon olib tashlangan shaxs uchun ham xotirjam davom etishi mumkin.

Har bir tunnel uchun nimalar qayd etiladi

Yangilanishni qaysi birlashma keltirib chiqarganini, eski va yangi identifikatorlarni, qaysi chegara ishga tushganini va almashtirish qoplanish ichida tugaganini qayd eting. Bu to'rt maydon kalit yangilash muammosini uzilishga aylanishidan oldin ko'rinadigan qiladi va tajovuzkor siyosatni muvaffaqiyatsiz siyosatdan ajratadi.

Kirishni olib tashlash jadvalini o'sha yozuv ichida emas, yonida saqlang. Kriptografik gigiyena va shaxs siyosati har xil nazoratlar, va kalitlarni o'z vaqtida aylantiradigan tunnel ham hech kim saqlashni o'ylamagan sessiyani ushlab turishi mumkin.