GDOI: кілт сервері неге деректер жолында емес

Топтық кілт сервері саясат пен кілттерді мүшелерге таратады, ал мүшелер трафикті өздері қорғайды. Бұл сөйлем контроллерді әрбір қорғалған пакеттің релесі ретінде қарайтын жоба пайда болғанша формальдік болып көрінеді; сонда топологияға ешқашан керек болмаған секіріс қосылады және трафик жолы тек күй таратуға арналған құрылғыға тәуелді болады. Кілт серверінің қайда орналасқанын және деректердің қайда ағатынын айту екі түрлі диаграмма, ал GDOI дәл осы айырмашылықтың айналасында құрылған. Мұны кері түсіну шағын модельдеу қатесі емес, өйткені ол нені бақылайтыныңызды және нені масштабтайтыныңызды өзгертеді. Төмендегі бөлімдер протоколдың өз бөлінісін ұстанады.

Қауіпсіздік күйінің екі түрі

RFC 6407 мүшенің саясат пен кілт материалын сұрауға арналған тарту алмасуын және уәкілетті мүшелерге саясат пен кілт жаңартуларын тарататын итеру алмасуын анықтайды. Екеуі де қауіпсіздік ассоциацияларын басқарады. Олардың ешқайсысы қосымшаның деректер ағыны емес, сондықтан сәтті алмасу бақылау арнасының жұмыс істегенін ғана дәлелдейді. Мүше таза тіркеліп, жарамды кілттерді ұстай алады және оның деректер саясаты дұрыс болмаса, трафикті қорғаудан немесе жіберуден сәтсіздікке ұшырауы мүмкін. Қай алмасудың нені тасымалдайтынын білгенде бұл екі ақау мүлде басқаша көрінеді.

Стандарт сондай-ақ кілт жаңарту хабарламаларын қорғайтын кілт жаңарту қауіпсіздік ассоциациясын мүшелердің трафикті қалай қорғайтынын сипаттайтын деректер қауіпсіздік ассоциацияларынан бөлек атайды.

Диаграмманы емес, алмасуларды ұстаныңыз

Әр хабарламаның не үшін екенін қараңыз. Тіркеу контроллерге қай мүшенің сұрап жатқанын айтып, күй орнатады; кілт жаңарту мүшелерге саясат немесе кілттер өзгергенін айтады; кейін қорғалған қосымша трафигі орнатылған деректер қауіпсіздік ассоциациясын пайдаланып мүшелер арасында ағады. Контроллердің мекенжайы алғашқы екеуінде көрінеді және үшіншісінде мүлде көрінбеуі мүмкін.

Сондықтан физикалық іргелестік бойынша сызылған интерфейс диаграммасы мұнда адастырады. Контроллер интерфейсі бақылау көзі, әр шифрланған пакет үшін автоматты түрде келесі секіріс емес.

Сақтауға тұрарлық үш жазба

Мүшенің аутентификацияланған тіркеуін және ол жете алатын бақылау көзін, кейінгі кілт жаңартуларын жеткізетін жолды, сондай-ақ қорғалған қосымша трафигін тасымалдайтын маршруттар мен қосылымдарды жазып алыңыз. Үш жазба, үш ие, және олардың кез келгеніндегі ақау басқа симптом береді. Тіркеліп, содан кейін ешқашан жаңарту алмаған мүше ескірген саясатпен тіркелген мүшемен бірдей көрінеді, егер екі жазба да сізде болмаса.

Бұларды біреудің жадында емес, конфигурацияның жанында ұстаңыз. Мүшелік өзгерістері соншалықты сирек, ой қажет болғанша әрдайым жоғалып кетеді.

Интерфейс, қызмет қосылымы, өңдеу жолы

Қызметке негізделген шлюзде тағы бір айырмашылық бар: физикалық астыңғы мекенжай жергілікті қызмет қосылымымен бірдей емес, ал трафиктің оның IPsec өңдеу жолына қалай жететінін платформаның іске асырылуы шешеді. Қате хабарламасы қызмет интерфейсі ережесін атағаны үшін қызметті физикалық интерфейске көшіру немесе байланыссыз аударма қосу — жөндеу киімін киген болжам.

Қызмет қосылымының трафикті қалай қабылдайтыны туралы платформаның өз құжаттамасын оқыңыз. Протокол стандартты болса да механизм жеткізушіге тән.

Стандартталған протокол хабарламалары да жеткізушіаралық үйлесімділікті бекітпейді. Екі іске асыру бірге жұмыс істейді деп болжамас бұрын қажетті мүмкіндіктерді, саясат пен ассоциация атрибуттарын, аутентификация әдісін және нақты платформа мен шығарылымды салыстырыңыз.

Бақылаудың қолжетімділігі мен деректерді жіберу бөлек тексерулер

Контроллерге қолжетімділікті қалыпты жұмыс, мүшелік өзгерістері және кілт жаңартулары үшін жоспарлаңыз. Бұрыннан орнатылған күйде сәтті болатын қосымша алмасуы келесі тіркеу немесе жаңарту мүшеге жете алатынын дәлелдемейді, ал алшақтық әдетте бірнеше сағаттан кейін жаңа мүшелерді қабылдауды тоқтататын туннель ретінде байқалады. Тек жұмыс істеп тұрған сессияны емес, жаңа тіркеуді сынаңыз.

Содан кейін қайта жіберуді контроллерсіз бөлек сынаңыз. Екі тексеру, екі нәтиже және қай жартысы бұзылғаны туралы әлдеқайда қысқа дау.