strongswan rekey

在StrongSwan中，IPsec SA（Security Association）可以在两个端点之间保护通信。SA包括加密算法，完整性检查算法和密钥材料等参数。它们在建立时由IKE（Internet Key Exchange）协议协商。

Rekeying 是指在IPsec SA到期之前，通过使用新的密钥材料更新SA。这个过程可以保持通信的连续性和安全性。在StrongSwan中，Rekeying可以通过两种方式进行：自动和手动。

对于自动Rekeying，StrongSwan将在IPsec SA到期前的一定时间内启动它。这个时间是由rekey_time参数控制的。如果没有指定该参数，则默认为1小时。在自动Rekeying期间，StrongSwan将使用新的密钥材料更新SA。

对于手动Rekeying，可以使用命令行工具ipsec命令手动启动它。例如，要手动重新启动名为"con1"的连接，可以执行以下命令：

ipsec stroke rekey con1

这将启动连接"con1"上的手动重新键入过程。

需要注意的是，如果StrongSwan在Rekeying期间遇到错误，它将不再尝试启动Rekeying。在这种情况下，需要手动重新启动连接。

相关问题

windows strongswan 关闭 rekey

要关闭 StrongSwan 的重新协商（rekey），可以在 StrongSwan 的配置文件中添加以下设置：

rekey=no
rekeymargin=0s
keyingtries=0

这些设置将禁用重新协商，并将重新协商间隔设置为0秒，将尝试重新协商的次数设置为0。

你可以编辑 StrongSwan 的配置文件 `/etc/ipsec.conf`，并在 `conn` 部分中添加上述设置。例如：

conn my_vpn_tunnel
    ...
    rekey=no
    rekeymargin=0s
    keyingtries=0
    ...

完成后，重新启动 StrongSwan 服务以使更改生效。

strongswan源码分析

StrongSwan是一个开源的 IPsec 实现，支持多种加密算法和协议，并且可以运行在多个平台上，如Linux、FreeBSD、Mac OS X等。在这里，我们将简要介绍StrongSwan的源码结构和一些关键的实现细节。

1. 源码结构

StrongSwan的源码结构非常清晰，其主要代码位于src目录下，包括以下几个子目录：

- charon：实现IKEv2协议的主要代码；
- lib：实现StrongSwan的基础库函数和数据结构；
- plugins：实现各种插件，如加密算法、身份验证、网络接口等；
- starter：实现StrongSwan的启动器；
- testing：实现StrongSwan的测试用例。

2. IKEv2协议实现

StrongSwan实现了IKEv2协议，其中最核心的部分是charon目录下的代码。在这个目录下，我们可以找到如下几个文件：

- ike_auth.c：实现IKEv2的身份验证功能；
- ike_auth_cfg.c：实现IKEv2的身份验证配置；
- ike_auth_modp.c：实现IKEv2的MODP Diffie-Hellman密钥交换；
- ike_auth_rsa.c：实现IKEv2的RSA密钥交换；
- ike_cfg.c：实现IKEv2配置；
- ike_child_cfg.c：实现IKEv2子通道配置；
- ike_config.h：定义IKEv2的配置选项；
- ike_exchange.c：实现IKEv2的交换过程；
- ike_init.c：实现IKEv2的初始化过程；
- ike_rekey.c：实现IKEv2的重新密钥协商过程。

在IKEv2的交换过程中，StrongSwan实现了以下几个阶段：

- IKE_SA_INIT：建立IKE SA并进行Diffie-Hellman密钥交换；
- IKE_AUTH：进行身份验证和密钥交换；
- CREATE_CHILD_SA：建立子通道并进行密钥交换。

在每个阶段，StrongSwan都实现了IKEv2协议规定的消息交换流程，包括发送和接收消息、处理消息、生成和发送响应消息等。

3. 加密算法实现

StrongSwan支持多种加密算法，如AES、DES、3DES等。在plugins目录下，我们可以找到以下几个子目录：

- crypto：实现StrongSwan的加密算法；
- eap：实现StrongSwan的EAP插件；
- kernel：实现StrongSwan的内核插件；
- socket-default：实现StrongSwan的网络接口插件。

在crypto目录下，我们可以找到如下几个文件：

- aes.c：实现AES加密算法；
- des.c：实现DES和3DES加密算法；
- sha1.c：实现SHA1哈希算法；
- sha2.c：实现SHA2哈希算法。

在StrongSwan中，加密算法的实现是通过libcrypto库来实现的。在crypto目录下，StrongSwan对libcrypto库做了一些包装，以便更方便地使用。

4. 总结

StrongSwan是一个功能强大的IPsec实现，支持多种加密算法和协议，并且可以运行在多个平台上。在实现上，StrongSwan的源码结构清晰，实现细节清晰可见。对于想要深入了解IPsec实现的人来说，StrongSwan的源码是一个不错的学习资料。