Обновление ключей IKE SA и CHILD SA¶
IKE SA защищает обмен управления и аутентификации; CHILD SA защищает пользовательские данные ESP. Обновление ключей (rekey) не равно полной X.509 повторной аутентификации с повторной проверкой CRL.
1. Параметры проверенного профиля¶
reauth_time = 0
rekey_time = 1h # IKE SA
children.gost.rekey_time = 30m
children.gost.life_time = 40m
Время запуска rekey может варьироваться из-за jitter. Секреты и SPI меняются, а защищённый трафик по возможности продолжается без перерывов.
2. Ручной CHILD rekey¶
На любом одном узле (один раз за операцию):
Для PSK используйте --child gost; на узле А защищённый адрес 10.200.2.1. Сразу после команды может быть active: CHILD_REKEY; повторите просмотр после короткой паузы. Успех — новый SPI и INSTALLED, а не один текст rekey completed successfully.
3. Ручной IKE rekey¶
После active: IKE_REKEY состояние должно перейти в ESTABLISHED, а CHILD оставаться INSTALLED. В испытаниях выполнены rekey обеих SA на каждой VM с 10/10 ICMP.
4. Что rekey не обеспечивает¶
Если сертификат был отозван после установки IKE SA, обычный IKE rekey может сохранить существующую аутентификацию. Для проверки свежей CRL завершите старую IKE SA и проведите новый IKE_AUTH: swanctl --terminate --ike ... → swanctl --initiate --child .... Это вызывает краткое прерывание трафика; учитывайте SLA и fail-closed.
Если одновременно инициируется rekey с двух сторон, переходные состояния могут выглядеть сложнее. Не форсируйте повторные команды многократно; изучайте journalctl и идентификаторы IKE/CHILD SA.