GDOI: zergatik gako-zerbitzaria ez dagoen zure datu-bidean

Taldeko gako-zerbitzariak politika eta gakoak banatzen dizkie kideei, eta kideek beren burua babesten dute trafikoa. Esaldi horrek formalitate itxura du, harik eta diseinu batek kontroladorea pakete babes bakoitzeko errele gisa tratatzen duen arte; orduan topologiak inoiz behar izan ez zuen jauzi bat irabazten du eta trafikoaren bideak estatua banatzeko soilik zen gailu baten mende egoten da. Gako-zerbitzaria non dagoen esatea eta datuak nora doazen esatea bi diagrama desberdin dira, eta GDOI desberdintasun horren inguruan eraiki da. Alderantziz ulertzea ez da modelatze-errore txikia, aldatzen baitu zer gainbegiratzen duzun eta zer eskalatzen duzun. Ondorengo atalek protokoloaren beraren banaketa jarraitzen dute.

Bi segurtasun-egoera mota

RFC 6407 kidearen tira-trukea definitzen du politika eta gako-materiala eskatzeko, eta bultza-truke bat politika eta gako-eguneratzeak baimendutako kideei banatzen dizkiena. Biek segurtasun-elkarteak kudeatzen dituzte. Bat ere ez da aplikazioaren datu-fluxua, beraz, truke arrakastatsu batek kontrol-kanalak funtzionatu zuela frogatzen du, eta besterik ez. Kidea garbi erregistra daiteke, baliozko gakoak eduki eta hala ere trafikoa babestu edo birbidaltzeko huts egin dezake, bere datu-politika okerra bada. Bi hutsegiteek ez dute inolako antzik, badakizunean zein trukek daraman bakoitza.

Estandarrak gako-berritze segurtasun-elkarte bat ere izendatzen du, gako-eguneratze mezuak babesten dituena, kideek trafikoa nola babesten duten deskribatzen duten datu-segurtasun elkarteetatik bereizia.

Jarraitu trukeei, ez diagramari

Begiratu zer egiten duen mezu bakoitzak. Erregistroak kontroladoreari esaten dio zein kide ari den galdetzen eta egoera ezartzen du; gako-berritzeak kideei esaten die politika edo gakoak aldatu direla; gero aplikazioaren trafiko babestua kideen artean isurtzen da instalatutako datu-segurtasun elkartea erabiliz. Kontroladorearen helbidea lehen bietan agertzen da eta ez da beharrezkoa hirugarrenean batere agertzea.

Horregatik hurbiltasun fisikoaren arabera marraztutako interfaze-diagrama hemen engainagarria da. Kontroladorearen interfazea kontrol-iturri bat da, ez da automatikoki pakete zifratu bakoitzeko hurrengo jauzia.

Gordetzea merezi duten hiru erregistro

Idatzi kidearen erregistro autentifikatua eta har dezakeen kontrol-iturria, geroagoko gako-eguneratzeak entregatzen dituen bidea, eta aplikazioaren trafiko babestua daramaten bideak eta eranskinak. Hiru erregistro, hiru jabe, eta horietako edozeinetan huts egiteak sintoma desberdina sortzen du. Erregistratu eta gero inoiz eguneratzetik jasotzen ez duen kidea berdin ikusten da politika zaharkituarekin erregistratu zen kidea bezala, bi erregistroak ez badituzu.

Gorde hauek konfigurazioaren ondoan, ez norbaiten memorian. Kidetzan aldaketak nahiko arraroak dira, eta arrazoibidea beti desagertu da behar den unerako.

Interfazea, zerbitzu-eranskina, prozesatze-bidea

Zerbitzuan oinarritutako atebidean beste bereizketa bat dago: oinarrizko helbide fisikoa ez da tokiko zerbitzu-eranskinaren gauza bera, eta plataformaren ezarpenak erabakitzen du nola iristen den trafikoa bere IPsec prozesatze-bidera. Zerbitzu bat interfaze fisikora mugitzea edo erlaziorik gabeko itzulpena gehitzea errore-mezu batek zerbitzu-interfazearen araua aipatu zuelako itxuraz konponketa den susmo bat da.

Irakurri plataformaren dokumentazio propioa zerbitzu-eranskinak nola jasotzen duen trafikoa. Mekanismoa hornitzailearen araberakoa da, protokoloa estandarra denean ere.

Protokolo-mezu estandarizatuek ez dute hornitzaileen arteko bateragarritasunik ezartzen. Alderatu beharrezko funtzioak, politika- eta elkarte-atributuak, autentifikazio-metodoa eta plataforma eta bertsio zehatzak, bi ezarpenek elkarrekin funtzionatuko dutela suposatu aurretik.

Kontrolaren erabilgarritasuna eta datuen birbidaltzea aparteko egiaztapenak dira

Planifikatu kontroladorearen irisgarritasuna ohiko funtzionamendurako, kidetzan aldaketetarako eta gako-eguneratzeetarako. Dagoeneko instalatutako egoeran arrakasta duen aplikazio-trukeak ez du frogatzen hurrengo erregistroak edo berritzeak kidea har dezakeenik, eta hutsunea ordu batzuk geroago agertu ohi da kide berriak onartzeari uzten dion tunel gisa. Probatu erregistro berria, ez soilik funtzionatzen duen saioa.

Gero probatu birbidaltzea aparte, kontroladorea iruditik kanpo. Bi egiaztapen, bi emaitza, eta zein erdi dagoen hondatuta argitzeko eztabaida askoz laburragoa.