GDOI: por que o servidor de chaves non está na túa ruta de datos

O servidor de chaves de grupo distribúe política e chaves aos membros, e os membros protexen eles mesmos o tráfico. Esa frase soa a formalidade ata que un deseño trata o controlador como un relé para cada paquete protexido; entón a topoloxía gaña un salto que nunca necesitou e a ruta do tráfico depende dun dispositivo que só debía repartir estado. Dicir onde está o servidor de chaves e dicir por onde flúen os datos son dous diagramas distintos, e GDOI está construído arredor desa diferenza. Invertelo non é un pequeno erro de modelado, porque cambia o que supervisas e o que escalas. As seccións seguintes seguen a división propia do protocolo.

Dous tipos de estado de seguridade

RFC 6407 define o intercambio de tracción do membro para solicitar política e material de chave, e un intercambio de empuxe que distribúe política e actualizacións de chaves aos membros autorizados. Ambos xestionan asociacións de seguridade. Ningún é o fluxo de datos da aplicación, así que un intercambio correcto só demostra que o canal de control funcionou. Un membro pode rexistrarse limpiamente, manter chaves válidas e aínda así non protexer nin reenviar tráfico se a súa política de datos é incorrecta. Os dous fallos non se parecen en nada cando sabes que intercambio leva cada un.

O estándar tamén nomea unha asociación de seguridade de renovación de chaves que protexe as mensaxes de actualización de chaves, separada das asociacións de seguridade de datos que describen como os membros protexen o tráfico.

Segue os intercambios, non o diagrama

Mira para que serve cada mensaxe. O rexistro di ao controlador que membro pregunta e establece estado; a renovación di aos membros que a política ou as chaves cambiaron; despois o tráfico protexido da aplicación flúe entre membros usando a asociación de seguridade de datos instalada. O enderezo do controlador aparece nos dous primeiros e non fai falta que apareza en absoluto no terceiro.

Por iso un diagrama de interfaces debuxado por adxacencia física aquí engana. A interface do controlador é unha fonte de control, non automaticamente o seguinte salto de cada paquete cifrado.

Tres rexistros que paga a pena gardar

Anota o rexistro autenticado do membro e a fonte de control que pode acadar, a ruta que entrega as actualizacións de chaves posteriores, e as rutas e os enlaces que levan o tráfico protexido da aplicación. Tres rexistros, tres responsables, e un fallo en calquera deles produce un síntoma distinto. Un membro que se rexistra e despois nunca recibe unha actualización parece idéntico a un membro rexistrado con política obsoleta, salvo que teñas ambos os rexistros.

Garda isto xunto á configuración e non na memoria de alguén. Os cambios de pertenza son o bastante infrecuentes como para que o razoamento sempre desaparecese cando fai falta.

Interface, adhesión de servizo, ruta de procesamento

Nunha pasarela baseada en servizos hai outra distinción: o enderezo físico subxacente non é o mesmo que a adhesión local de servizo, e a implementación da plataforma decide como chega o tráfico á súa ruta de procesamento IPsec. Mover un servizo a unha interface física ou engadir tradución non relacionada porque unha mensaxe de erro mencionou unha regra de interface de servizo é unha conxectura vestida de corrección.

Le a documentación propia da plataforma sobre como a adhesión de servizo recibe o tráfico. O mecanismo é específico do fabricante mesmo cando o protocolo é estándar.

As mensaxes de protocolo estandarizadas tampouco establecen compatibilidade entre fabricantes. Compara as funcións necesarias, os atributos de política e asociación, o método de autenticación e a plataforma e versión exactas antes de supor que dúas implementacións interoperarán.

Dispoñibilidade do control e reenvío de datos son comprobacións separadas

Planifica o alcance do controlador para a operación ordinaria, para os cambios de pertenza e para as actualizacións de chaves. Un intercambio de aplicación que ten éxito sobre estado xa instalado non demostra que o seguinte rexistro ou renovación poida chegar ao membro, e o oco adoita aparecer horas despois como un túnel que deixa de aceptar membros novos. Proba un rexistro novo, non só unha sesión que funciona.

Despois proba o reenvío por separado, co controlador fóra da imaxe. Dúas comprobacións, dous resultados e unha discusión moito máis curta sobre que metade está rota.