GDOI: чаму сервер ключоў не знаходзіцца на шляху вашых даных

Групавы сервер ключоў размяркоўвае палітыку і ключы паміж удзельнікамі, а ўдзельнікі самі абараняюць трафік. Гэты сказ гучыць як фармальнасць, пакуль нейкая схема не пачне ставіцца да кантролера як да рэтранслятара кожнага абароненага пакета; тады тапалогія набывае лішні пераход, а шлях трафіку пачынае залежаць ад прылады, якая мелася толькі выдаваць стан. Сказаць, дзе сядзіць сервер ключоў, і сказаць, куды ідуць даныя, — гэта дзве розныя схемы, і GDOI пабудаваны менавіта вакол гэтай розніцы. Памылка ў адваротны бок — не дробная памылка мадэлявання, бо яна змяняе тое, за чым вы сочыце, і тое, што вы масштабуеце. Раздзелы ніжэй ідуць за ўласным падзелам пратакола.

Два віды стану бяспекі

RFC 6407 вызначае запыт удзельніка на атрыманне палітыкі і ключавога матэрыялу, а таксама штуршок, які размяркоўвае палітыку і абнаўленні ключоў аўтарызаваным удзельнікам. Абодва кіруюць асацыяцыямі бяспекі. Ніводзін не з'яўляецца патокам даных праграмы, таму паспяховы абмен даказвае, што канал кіравання працаваў, і нічога больш. Удзельнік можа чыста зарэгістравацца, трымаць сапраўдныя ключы і ўсё роўна не здолець абараніць або пераслаць трафік, калі яго палітыка даных няправільная. Гэтыя два збоі выглядаюць зусім па-рознаму, калі ведаеш, які абмен які з іх нясе.

Стандарт таксама называе асацыяцыю бяспекі абнаўлення ключоў, якая абараняе паведамленні пра абнаўленне ключоў, асобна ад асацыяцый бяспекі даных, што апісваюць, як удзельнікі абараняюць трафік.

Ідзіце за абменамі, а не за схемай

Паглядзіце, для чаго кожнае паведамленне. Рэгістрацыя паведамляе кантролеру, які ўдзельнік пытаецца, і стварае стан; абнаўленне ключоў паведамляе ўдзельнікам, што палітыка або ключы змяніліся; затым абаронены трафік праграм ідзе паміж удзельнікамі з дапамогай усталяванай асацыяцыі бяспекі даных. Адрас кантролера з'яўляецца ў першых двух і зусім не павінен з'яўляцца ў трэцім.

Менавіта таму схема інтэрфейсаў, намаляваная па фізічнай сумежнасці, тут уводзіць у зман. Інтэрфейс кантролера — гэта крыніца кіравання, а не аўтаматычна наступны пераход для кожнага зашыфраванага пакета.

Тры запісы, якія варта захаваць

Запішыце аўтэнтыфікаваную рэгістрацыю ўдзельніка і крыніцу кіравання, да якой ён дасягае, шлях, які дастаўляе наступныя абнаўленні ключоў, а таксама маршруты і далучэнні, што нясуць абаронены трафік праграм. Тры запісы, тры ўласнікі, і збой у любым з іх дае іншы сімптом. Удзельнік, які зарэгістраваўся і потым ніколі не атрымлівае абнаўлення, выглядае гэтак жа, як удзельнік, што зарэгістраваўся са састарэлай палітыкай, пакуль у вас няма абодвух запісаў.

Трымайце гэта побач з канфігурацыяй, а не ў чыёйсці памяці. Змены членства настолькі рэдкія, што разважанні заўсёды знікаюць да таго моманту, калі яны патрэбны.

Інтэрфейс, далучэнне службы, шлях апрацоўкі

На шлюзе, заснаваным на службах, ёсць яшчэ адно адрозненне: адрас фізічнай асновы — не тое ж самае, што лакальнае далучэнне службы, і рэалізацыя платформы вырашае, як трафік дасягае яе шляху апрацоўкі IPsec. Перанос службы на фізічны інтэрфейс або даданне непатрэбнага пераўтварэння, бо паведамленне пра памылку згадала правіла інтэрфейсу службы, — гэта здагадка, апранутая як выпраўленне.

Чытайце ўласную дакументацыю платформы пра тое, як далучэнне службы атрымлівае трафік. Механізм залежыць ад пастаўшчыка, нават калі пратакол стандартны.

Стандартызаваныя паведамленні пратакола таксама не ўстанаўліваюць сумяшчальнасць паміж пастаўшчыкамі. Параўнайце абавязковыя функцыі, атрыбуты палітыкі і асацыяцыі, метад аўтэнтыфікацыі, а таксама дакладную платформу і выпуск, перш чым меркаваць, што дзве рэалізацыі будуць узаемадзейнічаць.

Даступнасць кіравання і перасылка даных — асобныя праверкі

Плануйце дасяжнасць кантролера для звычайнай працы, для змен членства і для абнаўленняў ключоў. Абмен праграмы, які паспяховы на ўжо ўсталяваным стане, не даказвае, што наступная рэгістрацыя або абнаўленне зможа дасягнуць удзельніка, і прагал звычайна выяўляецца праз гадзіны як тунель, які перастае прымаць новых удзельнікаў. Праверце свежую рэгістрацыю, а не толькі працоўную сесію.

Затым праверце перасылку асобна, без кантролера. Дзве праверкі, два вынікі і значна карацейшая спрэчка пра тое, якая палова зламаная.