GDOI: por qué el servidor de claves no está en tu ruta de datos

El servidor de claves de grupo distribuye política y claves a los miembros, y los miembros protegen ellos mismos el tráfico. Esa frase suena a formalidad hasta que un diseño trata al controlador como un relé para cada paquete protegido; entonces la topología gana un salto que nunca necesitó y la ruta del tráfico depende de un dispositivo que solo debía repartir estado. Decir dónde está el servidor de claves y decir por dónde fluyen los datos son dos diagramas distintos, y GDOI está construido en torno a esa diferencia. Invertirlo no es un pequeño error de modelado, porque cambia qué supervisas y qué escalas. Las secciones siguientes siguen la división propia del protocolo.

Dos tipos de estado de seguridad

RFC 6407 define el intercambio de tracción del miembro para solicitar política y material de clave, y un intercambio de empuje que distribuye política y actualizaciones de claves a los miembros autorizados. Ambos gestionan asociaciones de seguridad. Ninguno es el flujo de datos de la aplicación, así que un intercambio correcto solo demuestra que el canal de control funcionó. Un miembro puede registrarse limpiamente, mantener claves válidas y aun así no proteger ni reenviar tráfico si su política de datos es incorrecta. Los dos fallos no se parecen en nada cuando sabes qué intercambio lleva cada uno.

El estándar también nombra una asociación de seguridad de renovación de claves que protege los mensajes de actualización de claves, separada de las asociaciones de seguridad de datos que describen cómo los miembros protegen el tráfico.

Sigue los intercambios, no el diagrama

Mira para qué sirve cada mensaje. El registro dice al controlador qué miembro pregunta y establece estado; la renovación dice a los miembros que la política o las claves han cambiado; después el tráfico protegido de la aplicación fluye entre miembros usando la asociación de seguridad de datos instalada. La dirección del controlador aparece en los dos primeros y no hace falta que aparezca en absoluto en el tercero.

Por eso un diagrama de interfaces dibujado por adyacencia física aquí engaña. La interfaz del controlador es una fuente de control, no automáticamente el siguiente salto de cada paquete cifrado.

Tres registros que vale la pena guardar

Anota el registro autenticado del miembro y la fuente de control que puede alcanzar, la ruta que entrega las actualizaciones de claves posteriores, y las rutas y los enlaces que llevan el tráfico protegido de la aplicación. Tres registros, tres responsables, y un fallo en cualquiera de ellos produce un síntoma distinto. Un miembro que se registra y luego nunca recibe una actualización parece idéntico a uno registrado con política obsoleta, salvo que tengas ambos registros.

Guarda esto junto a la configuración y no en la memoria de alguien. Los cambios de membresía son lo bastante infrecuentes como para que el razonamiento siempre haya desaparecido cuando hace falta.

Interfaz, adjunción de servicio, ruta de procesamiento

En una pasarela basada en servicios hay otra distinción: la dirección física subyacente no es lo mismo que la adjunción local de servicio, y la implementación de la plataforma decide cómo llega el tráfico a su ruta de procesamiento IPsec. Mover un servicio a una interfaz física o añadir traducción no relacionada porque un mensaje de error mencionó una regla de interfaz de servicio es una conjetura vestida de corrección.

Lee la documentación propia de la plataforma sobre cómo la adjunción de servicio recibe el tráfico. El mecanismo es específico del fabricante incluso cuando el protocolo es estándar.

Los mensajes de protocolo estandarizados tampoco establecen compatibilidad entre fabricantes. Compara las funciones necesarias, los atributos de política y asociación, el método de autenticación y la plataforma y versión exactas antes de suponer que dos implementaciones interoperarán.

Disponibilidad del control y reenvío de datos son comprobaciones separadas

Planifica el alcance del controlador para la operación ordinaria, para los cambios de membresía y para las actualizaciones de claves. Un intercambio de aplicación que tiene éxito sobre estado ya instalado no demuestra que el siguiente registro o renovación pueda llegar al miembro, y el hueco suele aparecer horas después como un túnel que deja de aceptar miembros nuevos. Prueba un registro nuevo, no solo una sesión que funciona.

Luego prueba el reenvío por separado, con el controlador fuera de la imagen. Dos comprobaciones, dos resultados y una discusión mucho más corta sobre qué mitad está rota.