GDOI: pam nad yw’r gweinydd allweddi ar eich llwybr data

Mae gweinydd allweddi’r grŵp yn dosbarthu polisi ac allweddi i aelodau, ac mae’r aelodau’n diogelu’r traffig eu hunain. Mae’r frawddeg honno’n swnio fel ffurfioldeb nes bod dyluniad yn trin y rheolydd fel cyfnewidydd ar gyfer pob pecyn gwarchodedig; bryd hynny mae’r topoleg yn ennill naid nad oedd erioed ei hangen ac mae llwybr y traffig yn dibynnu ar ddyfais a oedd ond i fod i gyflwyno cyflwr. Mae dweud ble mae’r gweinydd allweddi ac i ble mae’r data’n llifo yn ddau ddiagram gwahanol, ac mae GDOI wedi’i adeiladu o amgylch y gwahaniaeth hwnnw. Nid gwall modelu bach yw ei gael o chwith, oherwydd mae’n newid yr hyn rydych chi’n ei fonitro a’r hyn rydych chi’n ei raddio. Mae’r adrannau isod yn dilyn rhaniad y protocol ei hun.

Dau fath o gyflwr diogelwch

RFC 6407 yn diffinio cyfnewid tynnu’r aelod ar gyfer gofyn am bolisi a deunydd allweddol, a chyfnewid gwthio sy’n dosbarthu polisi a diweddariadau allweddi i aelodau awdurdodedig. Mae’r ddau’n rheoli cymdeithasau diogelwch. Nid yw’r un ohonynt yn llif data’r cymhwysiad, felly dim ond bod y sianel reoli wedi gweithio y mae cyfnewid llwyddiannus yn ei brofi. Gall aelod gofrestru’n lân, dal allweddi dilys, a pharhau i fethu â diogelu neu anfon traffig ymlaen os yw ei bolisi data’n anghywir. Nid yw’r ddau fethiant yn edrych o gwbl yr un fath unwaith y gwyddoch pa gyfnewid sy’n cario pob un.

Mae’r safon hefyd yn enwi cymdeithas ddiogelwch ailarwyddo sy’n diogelu negeseuon diweddaru allweddi, ar wahân i’r cymdeithasau diogelwch data sy’n disgrifio sut mae aelodau’n diogelu traffig.

Dilynwch y cyfnewidiadau, nid y diagram

Edrychwch beth yw pwrpas pob neges. Mae cofrestru’n dweud wrth y rheolydd pa aelod sy’n gofyn ac yn sefydlu cyflwr; mae ailarwyddo’n dweud wrth aelodau fod polisi neu allweddi wedi newid; wedyn mae traffig cymhwysiad gwarchodedig yn llifo rhwng aelodau gan ddefnyddio’r gymdeithas ddiogelwch data sydd wedi’i gosod. Mae cyfeiriad y rheolydd yn ymddangos yn y ddau gyntaf ac nid oes angen iddo ymddangos yn y trydydd o gwbl.

Dyna pam diagram rhyngwynebau wedi’i luniadu yn ôl cyfosodiad corfforol yn camarwain yma. Mae rhyngwyneb y rheolydd yn ffynhonnell reoli, nid yw’n awtomatig yn y naid nesaf ar gyfer pob pecyn wedi’i amgryptio.

Tri chofnod sy’n werth eu cadw

Nodwch gofrestriad dilysedig yr aelod a’r ffynhonnell reoli y gall ei chyrraedd, y llwybr sy’n danfon diweddariadau allweddi dilynol, a’r llwybrau a’r cysylltiadau sy’n cario traffig cymhwysiad gwarchodedig. Tri chofnod, tri pherchennog, ac mae methiant yn unrhyw un ohonynt yn cynhyrchu symptom gwahanol. Mae aelod sy’n cofrestru ac wedyn byth yn derbyn diweddariad yn edrych yn union yr un fath ag aelod a gofrestrodd â pholisi hen ffasiwn, oni bai bod gennych y ddau gofnod.

Cadwch y rhain wrth ymyl y ffurfweddiad yn hytrach nag yng nghof rhywun. Mae newidiadau aelodaeth mor brin fel bod y rhesymu bob amser wedi diflannu erbyn y bydd ei angen.

Rhyngwyneb, cysylltiad gwasanaeth, llwybr prosesu

Ar borth sy’n seiliedig ar wasanaethau mae gwahaniaeth pellach: nid yw cyfeiriad yr is-haen corfforol yr un peth â’r cysylltiad gwasanaeth lleol, ac mae gweithrediad y platfform yn penderfynu sut mae traffig yn cyrraedd ei lwybr prosesu IPsec. Mae symud gwasanaeth i ryngwyneb corfforol neu ychwanegu cyfieithiad di-gysylltiad oherwydd bod neges gwall wedi sôn am reol rhyngwyneb gwasanaeth yn ddyfaliad wedi’i wisgo fel cywiriad.

Darllenwch ddogfennaeth y platfform ei hun ar sut mae’r cysylltiad gwasanaeth yn derbyn traffig. Mae’r mecanwaith yn benodol i’r gwerthwr hyd yn oed pan fydd y protocol yn safonol.

Nid yw negeseuon protocol safonedig yn sefydlu cydnawsedd rhwng gwerthwyr ychwaith. Cymharwch y nodweddion gofynnol, priodoleddau polisi a chymdeithas, y dull dilysu, a’r platfform a’r rhyddhad union cyn tybio y bydd dwy weithrediad yn cydweithio.

Mae argaeledd rheoli ac anfon data ymlaen yn wiriadau ar wahân

Cynlluniwch gyrhaeddiad y rheolydd ar gyfer gweithredu cyffredin, ar gyfer newidiadau aelodaeth ac ar gyfer diweddariadau allweddi. Nid yw cyfnewid cymhwysiad sy’n llwyddo ar gyflwr sydd eisoes wedi’i osod yn profi y gall y cofrestriad neu’r ailarwyddo nesaf gyrraedd yr aelod, ac mae’r bwlch fel arfer yn ymddangos oriau’n ddiweddarach fel tiwnel sy’n stopio derbyn aelodau newydd. Profwch gofrestriad newydd, nid sesiwn sy’n gweithio’n unig.

Yna profwch anfon ymlaen ar wahân, gyda’r rheolydd allan o’r darlun. Dau wiriad, dau ganlyniad, a dadl lawer byrrach ynglŷn â pha hanner sy’n doredig.