GDOI: Waarom die sleutelbediener nie op jou datapad is nie

Die groep-sleutelbediener versprei beleid en sleutels aan lede, en die lede beskerm self die verkeer. Daardie sin klink na ’n formaliteit totdat ’n ontwerp die beheerder as ’n relais vir elke beskermde pakket behandel; dan kry die topologie ’n hop wat dit nooit nodig gehad het nie, en die verkeerspad hang af van ’n toestel wat net bedoel was om status uit te deel. Om te sê waar die sleutelbediener sit en waar die data vloei, is twee verskillende diagramme, en GDOI is rondom daardie verskil gebou. Om dit omgekeerd te kry, is nie ’n klein modelleringsfout nie, want dit verander wat jy monitor en wat jy skaleer. Die afdelings hieronder volg die protokol se eie verdeling.

Twee soorte sekuriteitstatus

RFC 6407 definieer die lid se trek-uitruiling om beleid en sleutelmateriaal aan te vra, en ’n stoot-uitruiling wat beleid en sleutelopdaterings aan gemagtigde lede versprei. Albei bestuur sekuriteitsassosiasies. Nie een is die toepassing se datastroom nie, so ’n suksesvolle uitruiling bewys dat die beheerkanaal gewerk het en niks anders nie. ’n Lid kan skoon registreer, geldige sleutels hou en steeds nie die verkeer beskerm of aanstuur as sy databeleid verkeerd is nie. Die twee mislukkings lyk heeltemal anders sodra jy weet watter uitruiling elkeen dra.

Die standaard noem ook ’n hernuwings-sekuriteitsassosiasie wat sleutelopdateringsboodskappe beskerm, apart van die data-sekuriteitsassosiasies wat beskryf hoe lede verkeer beskerm.

Volg die uitruilings, nie die diagram nie

Kyk waarvoor elke boodskap is. ’n Registrasie vertel die beheerder watter lid vra en vestig status; ’n hernuwing vertel lede dat beleid of sleutels verander het; beskermde toepassingsverkeer vloei dan tussen lede met die geïnstalleerde data-sekuriteitsassosiasie. Die beheerder se adres verskyn in die eerste twee en hoef glad nie in die derde te verskyn nie.

Daarom is ’n koppelvlakdiagram wat volgens fisiese aangrensing geteken is, hier misleidend. Die beheerder se koppelvlak is ’n beheerbon, nie outomaties die volgende hop vir elke geënkripteerde pakket nie.

Drie rekords wat die moeite werd is om te hou

Skryf die lid se geauthentiseerde registrasie en die beheerbon wat hy kan bereik neer, die pad wat latere sleutelopdaterings aflewer, en die roetes en aanhegtings wat beskermde toepassingsverkeer dra. Drie rekords, drie eienaars, en ’n fout in enigeen van hulle lewer ’n ander simptoom. ’n Lid wat registreer en dan nooit ’n opdatering ontvang nie, lyk identies aan ’n lid wat met verouderde beleid geregistreer het, tensy jy albei rekords het.

Hou hierdie dinge langs die konfigurasie eerder as in iemand se geheue. Lidmaatskapveranderings is skaars genoeg dat die redenasie altyd weg is teen die tyd dat dit nodig is.

Koppelvlak, diensaanhegting, verwerkingspad

Op ’n diensgebaseerde poort is daar ’n verdere onderskeid: die fisiese onderlaagadres is nie dieselfde ding as die plaaslike diensaanhegting nie, en die platform se implementering bepaal hoe verkeer sy IPsec-verwerkingspad bereik. Om ’n diens na ’n fisiese koppelvlak te skuif of onverwante translasie by te voeg omdat ’n foutboodskap ’n dienskoppelvlak-reël genoem het, is ’n raaiskoot in die klere van ’n oplossing.

Lees die platform se eie dokumentasie oor hoe die diensaanhegting verkeer ontvang. Die meganisme is verskaffer-spesifiek selfs wanneer die protokol standaard is.

Gestandaardiseerde protokolboodskappe vestig ook nie kruisverskaffer-versoenbaarheid nie. Vergelyk vereiste funksies, beleid- en assosiasie-eienskappe, verifikasiemetode en die presiese platform en weergawe voordat jy aanneem twee implementerings sal saamwerk.

Beheerbeskikbaarheid en data-aanstuur is afsonderlike toetse

Beplan bereikbaarheid van die beheerder vir gewone werking, vir lidmaatskapveranderings en vir sleutelopdaterings. ’n Toepassingsuitruiling wat op reeds geïnstalleerde status slaag, bewys nie dat die volgende registrasie of hernuwing die lid kan bereik nie, en die gaping verskyn tipies ure later as ’n tonnel wat ophou om nuwe lede te aanvaar. Toets ’n vars registrasie, nie net ’n werkende sessie nie.

Toets dan aanstuur afsonderlik, met die beheerder buite die prentjie. Twee toetse, twee resultate, en ’n veel korter argument oor watter helfte stukkend is.