IKEv2: làm mới khóa so với xác thực lại — vì sao kết nối rớt sau đó

Đường hầm dựng lên vào buổi sáng và chạy hàng giờ. Rồi nó rớt, kết nối lại sau một lần thử và ngày hôm sau lại làm y như vậy. Không có gì thay đổi trên mạng và không ai chạm vào mật khẩu. Các phiên thất bại tại ranh giới làm mới thường vượt qua một trong hai thao tác khác nhau, và chỉ một trong số đó kiểm tra lại thông tin xác thực của bạn. Đọc xem cái nào đã kích hoạt chính là toàn bộ chẩn đoán.

Hai thao tác trông giống nhau từ bên ngoài

Làm mới khóa thay thế các liên kết bảo mật hoặc vật liệu khóa trong trao đổi do giao thức quy định. Xác thực không được lặp lại, nên danh tính được chấp nhận ở đầu phiên chỉ đơn giản được mang tiếp.

Xác thực lại đi xa hơn: nó thiết lập một mối quan hệ đã xác thực mới, nghĩa là thông tin xác thực được đánh giá lại. Mọi thứ đã hết hạn, bị thu hồi hoặc bị thay đổi trong thư mục đều trở nên hiển thị ngay tại thời điểm đó.

Làm mới khóa thực sự thay thế điều gì

IKEv2 giữ hai loại liên kết với vòng đời riêng. IKE SA bảo vệ kênh điều khiển, và CHILD SA bảo vệ lưu lượng thực. Làm mới một trong hai không đồng nghĩa với kết nối lại máy khách.

Sự tách biệt đó giải thích một mô thức quen thuộc: lưu lượng chạy tốt, rồi một CHILD SA được làm mới và đề xuất không còn khớp vì ai đó đã sửa pha 2 ở một bên từ nhiều tuần trước. Thay đổi nằm đó vô hại cho đến khi việc làm mới kích hoạt nó.

Sự lệch thời hạn sống cũng hành xử như vậy. Bên nào chạm giới hạn trước sẽ khởi động trao đổi, và bên kia phải chấp nhận.

Xác thực lại đánh giá lại điều gì

Với xác thực lại, chứng chỉ máy khách từng hợp lệ khi đăng nhập nay có thể đã hết hạn. Thông tin xác thực bị thu hồi, mật khẩu bị xoay hoặc yếu tố thứ hai không khả dụng đều xuất hiện ở đây, không phải tại thời điểm làm mới.

Vì thế kéo dài mọi thời hạn sống có vẻ như là bản sửa lỗi và không phải. Bạn đã hoãn việc kiểm tra thay vì vượt qua nó. Lần làm mới tiếp theo đến với cùng khiếm khuyết và cửa sổ gián đoạn ngắn hơn để nhận ra nó.

Một số triển khai chồng lấn trạng thái cũ và mới trong khi xác thực lại. Những triển khai khác tạo ra một khoảng trống ngắn. Vì thế các thiết lập giống nhau ở hai nhà cung cấp có thể cho trải nghiệm người dùng khác nhau. Hãy kiểm tra hành vi thay vì cho rằng tiêu chuẩn quy định điều đó.

Đọc các dấu thời gian trước khi thay đổi bất cứ điều gì

Ghi lại thời điểm thất bại cùng với trạng thái của liên kết trước và sau. Nếu liên kết cũ bị thay thế mà không có trao đổi xác thực, bạn đang ở ranh giới làm mới. Nếu một trao đổi AUTH xuất hiện ngay trước khi thất bại, bạn đang ở xác thực lại.

strongSwan phơi bày điều này dưới dạng các thiết lập riêng: rekey điều khiển việc làm mới khóa, reauth điều khiển việc có xảy ra xác thực mới hay không, và các giá trị margin quyết định mỗi bên bắt đầu trước khi hết hạn bao lâu. tài liệu về làm mới khóa mô tả tương tác, và đáng đọc trước khi sao chép một thời hạn sống từ bài đăng diễn đàn.

Phân biệt tất cả điều này với mất mạng thông thường. Một liên kết bị đứt tạo ra sự kiện phát hiện đồng đẳng đã chết hoặc bão truyền lại, không phải một trao đổi sạch với các đề xuất khớp nhau.

Thay đổi thứ đã thất bại

Việc từ chối thông tin xác thực cần sửa vấn đề danh tính: làm mới chứng chỉ, khôi phục tài khoản, đăng ký lại yếu tố. Sự lệch đề xuất hoặc thời hạn sống cần so sánh các tham số ở cả hai bên.

Kéo dài thời hạn sống để tránh triệu chứng là lựa chọn duy nhất luôn có vẻ đã hiệu quả và không bao giờ hiệu quả.

Kiểm tra một lần làm mới có kiểm soát

Buộc việc làm mới xảy ra thay vì chờ một ngày. Sau đó lặp lại với xác thực lại nếu việc triển khai hỗ trợ, và quan sát cả hai đầu.

Một lần đăng nhập đầu thành công không luyện tập bất cứ điều gì trong số này. Vòng đời sau đó là nơi các triển khai này thực sự hỏng.