Dwy borth IPsec, dim IP rannol: beth mae trosglwyddo ar fethiant yn ei wneud

Lladdwch borth A yn ystod cyfarfod a gwyliwch y twnnel yn dod yn ôl drwy B munud yn ddiweddarach; mae’r cysylltiad yn gweithio, efallai na fydd yr alwad fideo. Dyna’r siâp gonest o drosglwyddo oer rhwng dwy borth IPsec â chyfeiriadau annibynnol. Mae’r cleient yn ail-ddewis diweddbwynt ac yn adeiladu perthynas newydd, sy’n adfer cyrhaeddedd heb drosglwyddo cyflwr cryptograffig yr hen sesiwn. Mae dilyn y dilyniant yn dangos pa addewidion y gall y dyluniad eu cadw.

Gosodwch y llwyfan: dau gyfeiriad, dim IP arnofio

Mae porth A yn ateb ar un cyfeiriad hygyrch a phorth B ar un arall. Mae gan y cleient ffordd gymeradwy o ddewis B pan fydd A wedi mynd, ac nid oes cyfeiriad allanol rannol y mae’r ddwy borth yn ei hawlio. Yn y dyluniad hwn, mae IP rhithwir yn golygu’r pwynt mynediad rannol hwnnw, nid y cyfeiriad mewnol a roddir i gleient mynediad o bell.

Mae’r diffiniad hwnnw’n bwysig oherwydd bod y ddau syniad yn cael eu cymysgu mewn ticedi, ac nid yw trwsio un yn drwsio’r llall. Mae adroddiad bod y fynedfa rannol heb ddilyn y borth yn disgrifio un dyluniad. Mae adroddiad bod y gliniadur wedi colli ei gyfeiriad mewnol yn disgrifio les y cleient. Gwahanol berchnogion, gwahanol logiau, gwahanol atgyweiriadau.

Cerdded y methiant: canfod, yna ail-ddewis

Yn gyntaf mae rhywbeth yn sylwi bod A wedi stopio ateb. Gall hynny fod yn ganfod partner marw ar haen y twnnel, protocol llwybro’n tynnu llwybr yn ôl, neu derfyn amser rhaglen sy’n gorfodi ailgysylltu o’r diwedd. Mae gan bob un raddfa amser wahanol, a’r un arafaf fel arfer sy’n pennu faint mae defnyddwyr yn aros.

Yna mae’r cleient yn dewis B drwy ba bynnag fecanwaith y mae’r defnydd yn ei gefnogi: ail bell cyfluniadwy, enw DNS a ddatryswyd i gyfeiriad iach, neu lwybro sydd bellach yn ffafrio llwybr gwahanol. Mae dewis yn gam polisi, ac mae’n rhaid iddo fodoli cyn y methiant neu bydd yn digwydd ar hap.

Beth y gall B ei etifeddu a beth na all

Gall B rannu templed cyfluniad, awdurdod tystysgrifau a pholisi dilysu â A. Ni all etifeddu’r cymdeithasau diogelwch byw. Mae allweddi sesiwn, mynegeion paramedr diogelwch a chyflwr dilyniant yn perthyn i’r berthynas a sefydlwyd gan A a’r cleient, ac nid oes gan B ddim ohonynt.

Mae symud y cyflwr hwnnw rhwng pyrth yn broblem beirianneg go iawn, a dyna pam mae dogfennaeth argaeledd uchel strongSwan yn ei drin fel dyluniad clwstwr yn hytrach na fflag cyfluniad. Nid yw rysáit clwstwr benodol yn ateb cyffredinol i rwydwaith cwmwl, ac mae ei chopïo heb y seilwaith ategol yn prynu cymhlethdod yn lle parhad.

Sefydlu perthynas ffres

Gyda B wedi’i ddewis, mae’r cleient yn gwneud cyfnewid IKE newydd: gwerthoedd nonce newydd, gwerthoedd Diffie-Hellman newydd, dynodwyr newydd ar gyfer y cymdeithasau sy’n deillio. Mae dilysu’n digwydd eto yn B. Os yw’r dyluniad yn dibynnu ar gymwysterau peiriant, gall yr ailgysylltu fod heb oruchwyliaeth; os oes angen ffactor dynol, rhaid i rywun fod yn bresennol er mwyn i’r trosglwyddo gwblhau.

Diffiniwch y profiad defnyddiwr hwnnw cyn y methiant, nid yn ystod. Dywedwch yn blwmp beth fydd y cleient yn ei wneud, pa mor hir y bydd yn ceisio a beth fydd yn ei ddangos pan fydd yn rhoi’r gorau iddi, oherwydd y gwahaniaeth rhwng munud o ailgysylltu a galwad cymorth fel arfer yw dogfennaeth a phroffil wedi’i brofi.

Mae cadw’r un cyfeiriad mewnol yn helpu rhaglenni sy’n disgwyl hunaniaeth leol sefydlog, ac nid yw’n cadw eu sesiynau. Mae bondinau NAT yn dod i ben, mae cysylltiadau TCP yn ailosod, ac mae unrhyw beth â’i derfyn amser ei hun yn penderfynu’n annibynnol a ddylai geisio eto.

Mae dau dwnnel ochr yn ochr yn ddyluniad gwahanol

Mae rhedeg y ddau dwnnel ar unwaith yn batrwm dilys pan fydd y ddwy borth a’r dyluniad llwybro yn ei gefnogi. Yna mae dewis llwybr yn dewis y llwybr gweithredol, a rhaid i’r llwybr dychwelyd gytuno, neu mae traffig yn gadael drwy un borth ac yn dod yn ôl drwy’r llall heb gyflwr i’w baru.

Nid yw polisïau twnnel sy’n gorgyffwrdd yn creu trosglwyddo trefnus ar eu pennau eu hunain. Maent yn creu dau ymgeisydd, a rhaid i rywbeth benderfynu rhyngddynt yn benderfynol, boed yn fetrig llwybro, yn flaenoriaeth polisi neu’n ffafriaeth benodol yn y cleient.

Pa bynnag siâp a ddewiswch, ysgrifennwch y contract: sut y canfyddir methiant, sut y dewisir yr ail, pa ddilysu y mae’r ail yn ei angen a pha mor hir y disgwylir i’r ailgysylltu gymryd. Gall IP rannol symleiddio darganfod, ond nid yw’n gyfystyr â chyflwr parhaus, ac mae argaeledd yn ddyluniad beth bynnag.