GDOI: mengapa server kunci tidak ada di jalur data Anda

Server kunci grup mendistribusikan kebijakan dan kunci kepada anggota, dan anggota melindungi lalu lintasnya sendiri. Kalimat itu terdengar seperti formalitas sampai sebuah desain memperlakukan pengendali sebagai relai untuk setiap paket terlindungi; saat itu topologi bertambah satu lompatan yang tidak pernah dibutuhkan dan jalur lalu lintas bergantung pada perangkat yang hanya dimaksudkan membagikan status. Menyebut di mana server kunci berada dan ke mana data mengalir adalah dua diagram berbeda, dan GDOI dibangun di sekitar perbedaan itu. Membalikkannya bukan kesalahan pemodelan kecil, karena mengubah apa yang Anda pantau dan apa yang Anda skala. Bagian berikut mengikuti pembagian protokol itu sendiri.

Dua jenis status keamanan

RFC 6407 mendefinisikan pertukaran tarik anggota untuk meminta kebijakan dan materi kunci, serta pertukaran dorong yang mendistribusikan kebijakan dan pembaruan kunci kepada anggota yang berwenang. Keduanya mengelola asosiasi keamanan. Tidak satu pun merupakan aliran data aplikasi, jadi pertukaran yang berhasil hanya membuktikan kanal kendali bekerja. Anggota dapat mendaftar dengan bersih, memegang kunci yang valid, dan tetap gagal melindungi atau meneruskan lalu lintas jika kebijakan datanya salah. Kedua kegagalan itu tidak mirip sama sekali setelah Anda tahu pertukaran mana yang membawa yang mana.

Standar juga menamai asosiasi keamanan pembaruan kunci yang melindungi pesan pembaruan kunci, terpisah dari asosiasi keamanan data yang menjelaskan bagaimana anggota melindungi lalu lintas.

Ikuti pertukarannya, bukan diagramnya

Lihat untuk apa setiap pesan. Registrasi memberi tahu pengendali anggota mana yang bertanya dan menetapkan status; pembaruan kunci memberi tahu anggota bahwa kebijakan atau kunci telah berubah; lalu lalu lintas aplikasi terlindungi mengalir antaranggota memakai asosiasi keamanan data yang terpasang. Alamat pengendali muncul pada dua yang pertama dan tidak perlu muncul sama sekali pada yang ketiga.

Itulah sebabnya diagram antarmuka yang digambar menurut kedekatan fisik menyesatkan di sini. Antarmuka pengendali adalah sumber kendali, bukan otomatis lompatan berikutnya bagi setiap paket terenkripsi.

Tiga catatan yang layak disimpan

Catat registrasi terautentikasi anggota dan sumber kendali yang dapat dijangkau, jalur yang mengantarkan pembaruan kunci berikutnya, serta rute dan sambungan yang membawa lalu lintas aplikasi terlindungi. Tiga catatan, tiga pemilik, dan kegagalan pada salah satunya menghasilkan gejala berbeda. Anggota yang mendaftar lalu tidak pernah menerima pembaruan tampak identik dengan anggota yang mendaftar dengan kebijakan usang, kecuali Anda memiliki kedua catatan.

Simpan ini di samping konfigurasi, bukan di ingatan seseorang. Perubahan keanggotaan cukup jarang sehingga alasannya selalu hilang saat dibutuhkan.

Antarmuka, sambungan layanan, jalur pemrosesan

Pada gateway berbasis layanan ada perbedaan lebih lanjut: alamat lapisan dasar fisik tidak sama dengan sambungan layanan lokal, dan implementasi platform memutuskan bagaimana lalu lintas mencapai jalur pemrosesan IPsec-nya. Memindahkan layanan ke antarmuka fisik atau menambahkan terjemahan tak terkait karena pesan galat menyebut aturan antarmuka layanan adalah dugaan yang berpakaian perbaikan.

Baca dokumentasi platform itu sendiri tentang bagaimana sambungan layanan menerima lalu lintas. Mekanismenya khas vendor bahkan ketika protokolnya standar.

Pesan protokol yang terstandardisasi juga tidak membentuk kompatibilitas antarvendor. Bandingkan fitur yang diperlukan, atribut kebijakan dan asosiasi, metode autentikasi, serta platform dan rilis yang tepat sebelum menganggap dua implementasi akan saling beroperasi.

Ketersediaan kendali dan penerusan data adalah pemeriksaan terpisah

Rencanakan keterjangkauan pengendali untuk operasi biasa, untuk perubahan keanggotaan, dan untuk pembaruan kunci. Pertukaran aplikasi yang berhasil pada status yang sudah terpasang tidak membuktikan registrasi atau pembaruan berikutnya dapat mencapai anggota, dan celahnya biasanya muncul berjam-jam kemudian sebagai terowongan yang berhenti menerima anggota baru. Uji registrasi baru, bukan hanya sesi yang berfungsi.

Lalu uji penerusan secara terpisah, dengan pengendali di luar gambar. Dua pemeriksaan, dua hasil, dan perdebatan yang jauh lebih singkat tentang bagian mana yang rusak.