GDOI: hvorfor nøgleserveren ikke ligger på din datastrøm

Gruppens nøgleserver fordeler politik og nøgler til medlemmerne, og medlemmerne beskytter selv trafikken. Den sætning lyder som en formalitet, indtil et design behandler controlleren som relæ for hver beskyttet pakke; så får topologien et hop, den aldrig havde brug for, og trafikvejen afhænger af en enhed, der kun skulle udlevere tilstand. At sige, hvor nøgleserveren sidder, og hvor dataene løber, er to forskellige diagrammer, og GDOI er bygget op omkring den forskel. At vende det om er ikke en lille modelfejl, fordi det ændrer, hvad du overvåger, og hvad du skalerer. Afsnittene nedenfor følger protokollens egen opdeling.

To slags sikkerhedstilstand

RFC 6407 definerer medlemmets træk-udveksling til at anmode om politik og nøglemateriale og en skub-udveksling, der fordeler politik og nøgleopdateringer til autoriserede medlemmer. Begge styrer sikkerhedsassociationer. Ingen af dem er applikationens datastrøm, så en vellykket udveksling beviser kun, at kontrolkanalen virkede. Et medlem kan registrere sig rent, holde gyldige nøgler og stadig ikke beskytte eller videresende trafik, hvis dets datapolitik er forkert. De to fejl ser helt forskellige ud, når man ved, hvilken udveksling der bærer hvilken.

Standarden navngiver også en sikkerhedsassociation for nøglefornyelse, der beskytter nøgleopdateringsmeddelelser, adskilt fra de datasikkerhedsassociationer, der beskriver, hvordan medlemmer beskytter trafik.

Følg udvekslingerne, ikke diagrammet

Se på, hvad hver meddelelse er til. Registreringen fortæller controlleren, hvilket medlem der spørger, og opretter tilstand; nøglefornyelsen fortæller medlemmerne, at politik eller nøgler er ændret; derefter løber den beskyttede applikationstrafik mellem medlemmerne via den installerede datasikkerhedsassociation. Controllerens adresse optræder i de to første og behøver slet ikke optræde i den tredje.

Det er derfor, et interface-diagram tegnet efter fysisk naboskab vildleder her. Controllerens interface er en kontrolkilde, ikke automatisk det næste hop for hver krypteret pakke.

Tre registreringer, der er værd at gemme

Skriv medlemmets autentificerede registrering og den kontrolkilde, det kan nå, ned sammen med den vej, der leverer senere nøgleopdateringer, og de ruter og tilslutninger, der bærer den beskyttede applikationstrafik. Tre registreringer, tre ejere, og en fejl i enhver af dem giver et andet symptom. Et medlem, der registrerer sig og derefter aldrig modtager en opdatering, ser identisk ud med et medlem, der registrerede sig med forældet politik, medmindre du har begge registreringer.

Opbevar dem ved siden af konfigurationen i stedet for i nogens hukommelse. Ændringer i medlemskab er så sjældne, at begrundelsen altid er væk, når den skal bruges.

Interface, servicetilknytning, behandlingsvej

På en servicebaseret gateway er der en yderligere forskel: den fysiske underlagsadresse er ikke det samme som den lokale servicetilknytning, og platformens implementering afgør, hvordan trafik når dens IPsec-behandlingsvej. At flytte en service til et fysisk interface eller tilføje urelateret oversættelse, fordi en fejlmeddelelse nævnte en service-interface-regel, er et gæt klædt ud som en rettelse.

Læs platformens egen dokumentation for, hvordan servicetilknytningen modtager trafik. Mekanismen er leverandørspecifik, selv når protokollen er standard.

Standardiserede protokolmeddelelser etablerer heller ikke kompatibilitet på tværs af leverandører. Sammenlign krævede funktioner, politik- og associationsattributter, autentificeringsmetode samt den præcise platform og version, før du antager, at to implementeringer kan samarbejde.

Kontroltilgængelighed og datavideresendelse er separate kontroller

Planlæg controllerens tilgængelighed til normal drift, til ændringer i medlemskab og til nøgleopdateringer. En applikationsudveksling, der lykkes på allerede installeret tilstand, beviser ikke, at den næste registrering eller nøglefornyelse kan nå medlemmet, og hullet viser sig typisk timer senere som en tunnel, der holder op med at acceptere nye medlemmer. Test en frisk registrering, ikke kun en fungerende session.

Test derefter videresendelse separat, med controlleren ude af billedet. To kontroller, to resultater og en meget kortere diskussion om, hvilken halvdel der er i stykker.