GDOI: защо ключовият сървър не е на пътя на данните ви

Груповият ключов сървър разпределя политика и ключове към членовете, а членовете сами защитават трафика. Това изречение звучи като формалност, докато даден дизайн не започне да третира контролера като ретранслатор за всеки защитен пакет; тогава топологията добавя хоп, който никога не е бил нужен, а пътят на трафика зависи от устройство, чиято единствена задача е да раздава състояние. Да се каже къде стои ключовият сървър и накъде текат данните са две различни схеми, а GDOI е изграден точно около тази разлика. Да се обърка посоката не е малка грешка в моделирането, защото променя какво наблюдавате и какво мащабирате. Разделите по-долу следват собственото разделение на протокола.

Два вида състояние за сигурност

RFC 6407 дефинира обмена на издърпване, с който членът иска политика и ключов материал, и обмен на изтласкване, който разпределя политика и обновявания на ключове към оторизирани членове. И двата управляват асоциации за сигурност. Нито един от тях не е потокът от данни на приложението, така че успешният обмен доказва само, че контролният канал работи. Членът може да се регистрира чисто, да държи валидни ключове и въпреки това да не успее да защити или препрати трафик, ако политиката му за данни е грешна. Двете повреди изглеждат напълно различно, след като знаете кой обмен носи всяка от тях.

Стандартът също назовава асоциация за сигурност при подновяване на ключове, която защитава съобщенията за обновяване на ключове, отделно от асоциациите за сигурност на данните, които описват как членовете защитават трафика.

Следвайте обмените, а не схемата

Вижте за какво служи всяко съобщение. Регистрацията казва на контролера кой член пита и установява състояние; подновяването на ключове казва на членовете, че политиката или ключовете са се променили; след това защитеният трафик на приложението тече между членовете чрез инсталираната асоциация за сигурност на данните. Адресът на контролера се появява в първите две и изобщо не е нужно да се появява в третото.

Ето защо схема на интерфейсите, начертана по физическа съседност, тук подвежда. Интерфейсът на контролера е източник на управление, а не автоматично следващият хоп за всеки криптиран пакет.

Три записа, които си струва да пазите

Запишете удостоверената регистрация на члена и източника на управление, до който достига, пътя, който доставя следващите обновявания на ключове, и маршрутите и прикачванията, които носят защитения трафик на приложението. Три записа, трима собственици и повреда във всеки един от тях дава различен симптом. Член, който се регистрира и след това никога не получава обновяване, изглежда еднакво с член, регистриран с остаряла политика, освен ако нямате и двата записа.

Пазете тези неща до конфигурацията, а не в нечия памет. Промените в членството са достатъчно редки, че разсъждението винаги е изчезнало до момента, в който потрябва.

Интерфейс, прикачване на услуга, път за обработка

На шлюз, базиран на услуги, има още едно разграничение: адресът на физическата основа не е същото като локалното прикачване на услуга, а реализацията на платформата решава как трафикът достига пътя ѝ за обработка на IPsec. Преместването на услуга върху физически интерфейс или добавянето на несвързан превод, защото съобщение за грешка е споменало правило за интерфейс на услуга, е догадка, облечена като поправка.

Прочетете собствената документация на платформата за това как прикачването на услуга получава трафик. Механизмът е специфичен за доставчика, дори когато протоколът е стандартен.

Стандартизираните протоколни съобщения също не установяват съвместимост между доставчици. Сравнете изискуемите функции, атрибутите на политиката и асоциацията, метода за удостоверяване и точната платформа и версия, преди да приемете, че две реализации ще работят заедно.

Достъпността на управлението и препращането на данни са отделни проверки

Планирайте достижимостта на контролера за нормална работа, за промени в членството и за обновявания на ключове. Обмен на приложение, който успява върху вече инсталирано състояние, не доказва, че следващата регистрация или подновяване може да достигне до члена, а пропускът обикновено се появява часове по-късно като тунел, който спира да приема нови членове. Тествайте нова регистрация, не само работеща сесия.

След това тествайте препращането отделно, без контролера. Две проверки, два резултата и много по-кратък спор коя половина е счупена.