GDOI: wêrom’t de kaaiserver net op jo datapaad stiet

De groepskaaiserver ferspriedt belied en kaaien oan leden, en de leden beskermje sels it ferkear. Dy sin klinkt as in formaliteit oant in ûntwerp de controller as in relais foar elk beskerme pakket behannelet; dan krijt de topology in hop dy’t se nea nedich hie en hinget it ferkearspaad ôf fan in apparaat dat allinnich steat útjaan soe. Sizze wêr’t de kaaiserver sit en sizze wêr’t de gegevens streame binne twa ferskillende diagrammen, en GDOI is krekt om dat ferskil hinne boud. It omkeard krije is gjin lytse modellearringsflater, want it feroaret wat jo kontrolearje en wat jo skaalje. De seksjes hjirûnder folgje de eigen splitsing fan it protokol.

Twa soarten feiligenssteat

RFC 6407 definiearret de lûk-útwikseling fan it lid om belied en kaaimateriaal oan te freegjen, en in triuw-útwikseling dy’t belied en kaaifernijingen oan autorisearre leden ferspriedt. Beide beheare feiligensassosjaasjes. Gjin fan beide is de datastream fan ’e applikaasje, dus in suksesfolle útwikseling bewiist allinnich dat it kontrôlekanaal wurke hat. In lid kin skjin registrearje, jildige kaaien hâlde en dochs it ferkear net beskermje of trochstjoere as syn databelied ferkeard is. De twa flaters sjogge hiel oars út as jo witte hokker útwikseling hokker draacht.

De standert neamt ek in fernijingsfeiligensassosjaasje dy’t kaaifernijingsberjochten beskermet, apart fan ’e datafeiligensassosjaasjes dy’t beskriuwe hoe’t leden ferkear beskermje.

Folgje de útwikselings, net it diagram

Sjoch wêr’t elk berjocht foar is. In registraasje fertelt de controller hokker lid freget en set steat op; in fernijing fertelt leden dat belied of kaaien feroare binne; dêrnei streamt beskerme applikaasjeferkear tusken leden mei de ynstalleare datafeiligensassosjaasje. It adres fan ’e controller ferskynt yn ’e earste twa en hoecht hielendal net yn ’e tredde te ferskinen.

Dêrom in interface-diagram tekene neffens fysike oanbuorring hjir misliedend. De interface fan ’e controller is in kontrôleboarne, net automatysk de folgjende hop foar elk fersifere pakket.

Trije records dy’t de muoite wurdich binne

Skriuw de autentisearre registraasje fan it lid en de kontrôleboarne dy’t it berikke kin op, it paad dat lettere kaaifernijingen leveret, en de rûtes en oanhechtings dy’t beskerme applikaasjeferkear drage. Trije records, trije eigners, en in flater yn ien fan harren jout in oar symptoom. In lid dat registrearret en dan nea in fernijing krijt liket identyk op in lid dat him mei ferâldere belied registrearre hat, útsein as jo beide records hawwe.

Hâld dizze njonken de konfiguraasje ynstee fan yn ien syn ûnthâld. Lidmaatskipferoarings binne sa seldsum dat de redenearring altyd fuort is tsjin ’e tiid dat it nedich is.

Interface, tsjinstferbining, ferwurkingspaad

Op in tsjinstbasearre gateway is der in fierdere ûnderskied: it fysike ûnderlaachadres is net itselde as de lokale tsjinstferbining, en de ymplemintaasje fan it platfoarm beslút hoe’t ferkear syn IPsec-ferwurkingspaad berikt. In tsjinst nei in fysike interface ferpleatse of in net-relatearre oersetting tafoegje om’t in flaterberjocht in tsjinst-interface-regel neamde, is in gissing yn it gewaad fan in repaaraasje.

Lês de eigen dokumintaasje fan it platfoarm oer hoe’t de tsjinstferbining ferkear ûntfangt. It meganisme is leveransierspesifyk sels as it protokol standert is.

Standert protokolberjochten fêstigje ek gjin kompatibiliteit tusken leveransiers. Fergelykje de fereaske funksjes, belied- en assosjaasje-attributen, de autentikaasjemetoade en it krekte platfoarm en de ferzje foardat jo oannimme dat twa ymplemintaasjes gearwurkje sille.

Kontrôlebeskikberens en gegevens trochstjoere binne aparte kontrôles

Plan de berikberens fan ’e controller foar gewoane eksploitaasje, foar lidmaatskipferoarings en foar kaaifernijingen. In applikaasje-útwikseling dy’t slagget op al ynstalleare steat bewiist net dat de folgjende registraasje of fernijing it lid berikke kin, en it gat ferskynt meast oeren letter as in tunnel dy’t ophâldt nije leden te akseptearjen. Test in nije registraasje, net allinnich in wurkjende sesje.

Test dêrnei it trochstjoeren apart, mei de controller bûten byld. Twa kontrôles, twa resultaten, en in folle koartere diskusje oer hokker helte stikken is.