GDOI: perché il server delle chiavi non è sul tuo percorso dati

Il server delle chiavi di gruppo distribuisce politica e chiavi ai membri, e i membri proteggono da soli il traffico. Questa frase suona come una formalità finché un progetto tratta il controller come un relè per ogni pacchetto protetto; allora la topologia guadagna un salto che non le è mai servito e il percorso del traffico dipende da un dispositivo che doveva solo distribuire stato. Dire dove sta il server delle chiavi e dire dove scorrono i dati sono due schemi diversi, e GDOI è costruito attorno a questa differenza. Invertirla non è un piccolo errore di modellazione, perché cambia ciò che monitori e ciò che scali. Le sezioni seguenti seguono la divisione propria del protocollo.

Due tipi di stato di sicurezza

RFC 6407 definisce lo scambio di trazione del membro per richiedere politica e materiale di chiave, e uno scambio di spinta che distribuisce politica e aggiornamenti delle chiavi ai membri autorizzati. Entrambi gestiscono associazioni di sicurezza. Nessuno dei due è il flusso dati dell’applicazione, quindi uno scambio riuscito dimostra solo che il canale di controllo ha funzionato. Un membro può registrarsi in modo pulito, tenere chiavi valide e comunque non riuscire a proteggere o inoltrare il traffico se la sua politica dei dati è sbagliata. I due guasti non si somigliano affatto una volta che sai quale scambio porta quale.

Lo standard nomina anche un’associazione di sicurezza di rinnovo che protegge i messaggi di aggiornamento delle chiavi, separata dalle associazioni di sicurezza dei dati che descrivono come i membri proteggono il traffico.

Segui gli scambi, non lo schema

Guarda a cosa serve ogni messaggio. La registrazione dice al controller quale membro sta chiedendo e stabilisce lo stato; il rinnovo dice ai membri che politica o chiavi sono cambiate; poi il traffico applicativo protetto scorre tra i membri usando l’associazione di sicurezza dei dati installata. L’indirizzo del controller compare nei primi due e non deve comparire affatto nel terzo.

Ecco perché uno schema di interfacce disegnato per adiacenza fisica qui inganna. L’interfaccia del controller è una fonte di controllo, non automaticamente il prossimo salto per ogni pacchetto cifrato.

Tre registrazioni da conservare

Annota la registrazione autenticata del membro e la fonte di controllo che può raggiungere, il percorso che consegna gli aggiornamenti delle chiavi successivi, e le rotte e gli attacchi che portano il traffico applicativo protetto. Tre registrazioni, tre proprietari, e un guasto in una qualsiasi di esse produce un sintomo diverso. Un membro che si registra e poi non riceve mai un aggiornamento sembra identico a uno registrato con politica obsoleta, a meno che tu non abbia entrambe le registrazioni.

Tienile accanto alla configurazione e non nella memoria di qualcuno. I cambi di appartenenza sono abbastanza rari che il ragionamento è sempre sparito quando serve.

Interfaccia, attacco di servizio, percorso di elaborazione

Su un gateway basato su servizi c’è un’ulteriore distinzione: l’indirizzo fisico sottostante non è la stessa cosa dell’attacco di servizio locale, e l’implementazione della piattaforma decide come il traffico raggiunge il suo percorso di elaborazione IPsec. Spostare un servizio su un’interfaccia fisica o aggiungere una traduzione non correlata perché un messaggio di errore citava una regola di interfaccia di servizio è una supposizione vestita da correzione.

Leggi la documentazione della piattaforma su come l’attacco di servizio riceve il traffico. Il meccanismo dipende dal fornitore anche quando il protocollo è standard.

I messaggi di protocollo standardizzati non stabiliscono nemmeno la compatibilità tra fornitori. Confronta le funzioni richieste, gli attributi di politica e associazione, il metodo di autenticazione e la piattaforma e la release esatte prima di supporre che due implementazioni interopereranno.

Disponibilità del controllo e inoltro dei dati sono controlli separati

Pianifica la raggiungibilità del controller per l’esercizio ordinario, per i cambi di appartenenza e per gli aggiornamenti delle chiavi. Uno scambio applicativo che riesce su stato già installato non dimostra che la prossima registrazione o il prossimo rinnovo raggiungano il membro, e il divario di solito compare ore dopo come un tunnel che smette di accettare nuovi membri. Prova una registrazione nuova, non solo una sessione funzionante.

Poi prova l’inoltro separatamente, con il controller fuori scena. Due controlli, due risultati e una discussione molto più breve su quale metà è rotta.