Zu einem Partner entstehen keine neuen Verbindungen

Bestehende Verbindungen zu einem Partner laufen noch oder sind gerade regulär zu Ende gegangen, aber neue Verbindungen kommen nicht zustande, obwohl die Zertifikate gültig sind.

Verbindungen zwischen zwei TLS-Adaptern einer Vertrauensbeziehung, mit zusätzlichem Post-Quanten-Geheimnis der Schlüsselagenten; alle Betriebsmodelle.

Ein TLS-Adapter baut eine Beziehungsverbindung nur mit einem gültigen Geheimnis der Schlüsselagenten auf. Ist der Agent der Gegenstelle nicht erreichbar, laufen bestehende Verbindungen bis zum Ende ihrer Lebensdauer weiter, und neue entstehen, solange noch ein gültiges Geheimnis vorliegt. Danach entsteht keine neue Verbindung. Ein stiller Rückfall auf TLS ohne das Geheimnis findet nicht statt.

Weitere Ursachen mit demselben Bild: Die Beziehung ist abgelaufen, oder die Verbindung erfüllt die kryptographischen Anforderungen einer der beiden Beziehungsrichtlinien nicht.

1. Prüfen Sie in der Überwachung das Alter des jüngsten Geheimnisses für dieses Agentenpaar. Wächst es, ist die Gegenseite nicht erreichbar oder der Austausch gestört.
2. Stellen Sie die Erreichbarkeit des Schlüsselagenten der Gegenstelle wieder her; das ist Sache des Partners. Sobald die Agenten ein neues Geheimnis vereinbart haben, entstehen wieder Verbindungen.
3. Prüfen Sie die abgelehnten Verbindungen je Beziehung und Grund. Ist die Beziehung abgelaufen, vereinbaren Sie eine neue Dauer; verlangt eine Richtlinie Eigenschaften, die die Gegenseite nicht erfüllt, gleichen Sie die Anforderungen beider Richtungen ab.

Das Alter des jüngsten Geheimnisses sinkt wieder unter den Erneuerungstakt (in der Vorgabe 10 Minuten), und die Zahl der abgelehnten Verbindungen dieser Beziehung bleibt bei null.

• PQ-Schlüsselaustausch für TLS – Fehlerverhalten
• Föderation und bilaterales Vertrauen – Dauer und kryptographische Anforderungen je Richtung
• Betrieb und Notfall – Signale der Überwachung