Nega IPsec tunnellingiz birinchi CHILD SA kalit yangilanishigacha ishlaydi

Tunnel ko'tarildi, ping javob berdi va hamma tasdiqladi. To'rt soatdan keyin sessiya tushadi, tomonlar taklif yoki kalit almashinuvi xatosini qayd etadi va birinchi taxmin tarmoqda nimadir o'zgargan bo'ladi. Hech narsa o'zgarmadi. Trafik tashuvchi tunnel ikki tomon autentifikatsiya qilish va birinchi bola assotsiatsiyasini himoya qilish borasida kelishganini isbotladi va yangilashda talab qiladigan kalit almashinuvi haqida hech narsa isbotlamadi. Nomuvofiqlik shu ikki hodisa orasidagi bo'shliqda o'tiribdi.

Ulanganlik PFS sozlamalari mos keladi degani emas

IKEv2 bilan birinchi bola assotsiatsiyasi autentifikatsiya almashinuvi paytida yaratiladi va uning kalitlari IKE assotsiatsiyasi allaqachon ishlab chiqargan materialdan olinadi. O'sha bola uchun alohida Diffie-Hellman almashinuvi bo'lmaydi, shuning uchun yangilashda buni talab qiladigan siyosat ko'tarilishda sinab ko'rilmaydi.

Yangilash boshqa almashinuv. Bola assotsiatsiyasining kaliti yangilanganda, tomonlar takliflarida nomlangan guruh bilan yangi kalit almashinuvi qilishlari mumkin va guruh sozlamalari birinchi marta taqqoslanadigan payt shu. Shuning uchun kelishmaydigan ikki tomon autentifikatsiya qilib, bola assotsiatsiyasini o'rnatib, trafikni o'tkazishi va keyin yangilashda muvaffaqiyatsiz bo'lishi mumkin.

Nomuvofiqlik taklif satrida qayerda yashiringan

strongSwan'da guruh bola taklifiga qo'shiladi, shuning uchun aes256gcm16-prfsha256-ecp256 kabi satr shifrlash tanloviga o'xshaydi, lekin kalit almashinuvi talabini ham olib yuradi. Faqat aes256gcm16-prfsha256 taklif qiladigan tomonda bunday talab yo'q va ikki ro'yxat shifrlashda kesishadi, almashinuvda esa ajraladi.

Bola taklifi va IKE taklifini alohida ro'yxatlar sifatida o'qing. IKE ro'yxatida ko'ringan guruh bola ro'yxati haqida hech narsa demaydi va birini o'qib turib ikkinchisini tahrirlash buni o'tkazib yuborishning odatiy yo'lidir.

Muvaffaqiyatsizlikni o'qing, tahrirlagan faylingizni emas

Almashinuvni tugatgan notify'ni toping. Qabul qilinadigan taklif yo'q deb qaytaradigan bola kalit yangilanishi taklif ro'yxatlariga ishora qiladi; hech qachon javob olmaydigan yangilash so'rovi yo'lga yoki tinglashni to'xtatgan tomonga ishora qiladi. Bu ikkisi turli tuzatish talab qiladi va log satrining iborasi ularni ajratadi.

Diskdagini emas, ishlab turgan konfiguratsiyani tasdiqlang. Saqlangan, lekin yuklanmagan fayl yoki boshqa include'dan qayta o'qilgan ulanish ko'rinadigan faylni qancha tahrirlasangiz ham tuzatilmaydigan nomuvofiqlik keltiradi.

Hammasi kalit yangilash deb ataydigan uchta hodisa

IKE assotsiatsiyasi kalitining yangilanishi, IKE qayta autentifikatsiyasi va bola assotsiatsiyasi kalitining yangilanishi alohida taklif qoidalariga ega alohida amallardir. Ulardan birida bildirilgan muvaffaqiyatsizlik qolganlari haqida to'g'ridan-to'g'ri hech narsa demaydi va ularni aralashtirgan log uchta bo'lsa ham bitta takrorlanuvchi nosozlik kabi o'qiladi.

Tomon qaysi hodisani nomlashiga e'tibor bering, keyin takliflarni faqat shu hodisa uchun tekshiring. Bitta ro'yxatni o'zgartiring, qayta yuklang va o'sha hodisani yana majburlang. Agar log qayta autentifikatsiyani nomlasa, o'qiladigan narsa IKE taklifi. Agar u bola kalit yangilanishini nomlasa, muhim guruhni bola taklifi olib yuradi.

Yangilashni o'chirish tuzatish emas

Kalit yangilash vaqtini nolga qo'yish muvaffaqiyatsiz bo'ladigan almashinuvni bosadi va tunnel keyin buzilguncha yoki tomon qayta ishga tushguncha yashaydi. Siz sotib olgan narsa uzoq umrli kalit va ko'chirish, audit yoki yetkazib beruvchi yangilanishi paytida yana uchraydigan nomuvofiqlikdir. Xuddi shu narsa qarshi tomon kutgan siyosatdan ancha uzoqqa cho'zilgan umrlarga ham tegishli.

Buning o'rniga takliflarni moslashtiring. Ikki tomon ham joriy qiladigan guruhni tanlang, uni ikki uchda bola taklifiga qo'ying va yangilash siyosatini tashkilot chindan talab qiladigan oraliqda saqlang.

Buni muvaffaqiyatsiz bo'lgan almashinuv bilan isbotlang

Texnik xizmat oynasida bola kalit yangilash vaqtini qisqartiring, hodisa soatlar emas, daqiqalar ichida kelsin, yoki qo'lda bola kalit yangilashini ishga tushiring. Keyin muvaffaqiyatli yangilanishni kuzatib, trafik u orqali davom etishini tasdiqlang, chunki bola assotsiatsiyasini o'rnatib, lekin ilova oqimini tashlab yuboradigan yangi qo'l berish boshqa nuqson.

Keyin odatdagi umrni tiklang va ikkala hodisa yozuvini saqlang, muvaffaqiyatsiz va muvaffaqiyatli. Siz istagan dalil — ulanish o'z hayot tsiklidan o'tishi, ping'dan o'tgani emas.