Bi IPsec ate, IP partekaturik gabe: zer egiten duen benetan hutsegiteko aldaketak

Hil ezazu A atea bilera batean eta ikusi tunela B-tik minutu bat geroago itzultzen; konexioak funtzionatzen du, bideo-deiak agian ez. Hori da helbide independenteak dituzten bi IPsec ate arteko aldaketa hotzaren forma zintzoa. Bezeroak mutur bat berriz hautatzen du eta harreman berria eraikitzen du, eta horrek irisgarritasuna berreskuratzen du sesio zaharren egoera kriptografikoa transferitu gabe. Segida jarraitzeak argi uzten du zein promes bete ditzakeen diseinuak.

Prestatu eszena: bi helbide, IP flotatzailerik ez

A atea helbide irisgarri batean erantzuten du eta B atea beste batean. Bezeroak B aukeratzeko modu onartua du A desagertzen denean, eta ez dago bi ateek aldarrikatzen duten kanpo-helbide partekaturik. Diseinu honetan, IP birtualak sarrera-puntu partekatu hori esan nahi du, urruneko sarbideko bezeroari esleitutako barne-helbidea ez.

Definizio horrek garrantzia du bi ideiak txartelak nahasten direlako, eta baten konponketa ez delako bestearen konponketa. Sarrera partekatuak atea ez zuela jarraitu dioen txostenak diseinu bat deskribatzen du. Eramangarriak barne-helbidea galdu zuela dioen txostenak bezeroaren alokairua deskribatzen du. Jabe desberdinak, erregistro desberdinak, konponketa desberdinak.

Ibiratu hutsegitea: detektatu, gero berriz hautatu

Lehenik zerbait ohartzen da A-k erantzuteari utzi diola. Hori tunel-geruzako pare hilaren detekzioa izan daiteke, bidea kentzen duen bideratze-protokolo bat edo azkenean berriro konektatzera behartzen duen aplikazioaren denbora-muga. Bakoitzak denbora-eskala desberdina du, eta geldoenak zehazten du normalean erabiltzaileek zenbat itxaroten duten.

Gero bezeroak B hautatzen du inplementazioak onartzen duen mekanismoaz: bigarren urruneko konfiguratu bat, helbide osasuntsura ebatzitako DNS izen bat edo orain beste bide bat nahiago duen bideratzea. Hautaketa politika-pausoa da, eta hutsegitearen aurretik egon behar du, bestela ustekabean gertatuko da.

Zer jaso dezakeen B-k eta zer ez

B-k A-rekin parteka ditzake konfigurazio-txantiloi bat, ziurtagiri-agintaritza bat eta autentifikazio-politika bat. Ezin ditu segurtasun-elkarte biziak heredatu. Saio-gakoak, segurtasun-parametroen indizeak eta sekuentzia-egoera A-k eta bezeroak ezarritako harremanari dagozkio, eta B-k ez du horietako bat ere.

Egoera hori ate artean mugitzea benetako ingeniaritza-arazoa da, eta horregatik strongSwan-en erabilgarritasun handiko dokumentazioak kluster-diseinu gisa tratatzen du, ez konfigurazio-bandera gisa. Kluster-errezeta zehatz bat ez da hodeiko sare baterako erantzun orokorra, eta lagungarri den azpiegitura gabe kopiatzeak konplexutasuna erosten du jarraitutasunaren ordez.

Harreman berria ezartzea

B hautatuta, bezeroak IKE truke berria egiten du: nonce balio berriak, Diffie-Hellman balio berriak, sortutako elkarteentzako identifikatzaile berriak. Autentifikazioa B-n gertatzen da berriro. Diseinuak makina-kredentzialetan oinarritzen bada, berriro konektatzea gainbegiratu gabea izan daiteke; giza faktorea behar badu, norbaitek bertan egon behar du aldaketa osatzeko.

Definitu erabiltzaile-esperientzia hori etenaren aurretik, ez bitartean. Esan argi zer egingo duen bezeroak, zenbat saiatuko den eta zer erakutsiko duen amore ematen duenean, zeren minutuko berriro konektatzearen eta laguntza-dei baten arteko aldea dokumentazioa eta probatutako profila izan ohi da.

Barne-helbide bera mantentzeak identitate lokal egonkorra espero duten aplikazioei laguntzen die, eta ez ditu haien saioak mantentzen. NAT loturak iraungitzen dira, TCP konexioak berrezartzen dira eta denbora-muga propioa duen edozerk modu independentean erabakitzen du berriro saiatu ala ez.

Bi tunel paraleloan beste diseinu bat dira

Bi tunelak aldi berean exekutatzea baliozko eredua da bi ateei eta bideratze-diseinuari egoki badagokie. Orduan bide-hautaketak bide aktiboa aukeratzen du, eta itzulera-bideak bat etorri behar du, bestela trafikoak ate batetik irten eta bestetik itzultzen da bat etortzeko egoerarik gabe.

Tunel-politika gainjarriek ez dute berez aldaketa ordenaturik sortzen. Bi hautagai sortzen dituzte, eta zerbait-ek erabaki behar du haien artean modu deterministan, bide-metrika, politika-lehentasuna edo bezeroan lehentasun esplizitua izanik.

Aukeratzen duzun forma edozein dela, idatzi kontratua: nola detektatzen den hutsegitea, nola hautatzen den alternatiba, zer autentifikazio eskatzen duen eta zenbat denbora hartuko duen berriro konektatzeak. IP partekatu batek aurkikuntza erraz dezake, baina ez da egoera jarraituaren sinonimo, eta erabilgarritasuna diseinua da edozein kasutan.