GDOI: ачкыч сервери эмне үчүн маалымат жолунда эмес

Топтук ачкыч сервери саясатты жана ачкычтарды мүчөлөргө бөлүштүрөт, ал эми мүчөлөр трафикти өздөрү коргойт. Бул сүйлөм контроллерди ар бир корголгон пакеттин релеси катары караган долбоор пайда болгонго чейин формалдуулук болуп угулат; анда топологияга эч качан керек болбогон секирик кошулат жана трафик жолу абалды гана бөлүштүрүүгө арналган түзмөккө көз каранды болот. Ачкыч серверинин кайда экенин жана маалыматтын кайда агарын айтуу эки башка диаграмма, ал эми GDOI ушул айырманын айланасында курулган. Муну тескери түшүнүү кичине моделдик ката эмес, анткени ал эмнени көзөмөлдөй турганыңызды жана эмнени масштабдай турганыңызды өзгөртөт. Төмөнкү бөлүмдөр протоколдун өзүнүн бөлүнүшүн ээрчийт.

Коопсуздук абалынын эки түрү

RFC 6407 мүчөнүн саясат жана ачкыч материалын суроо үчүн тартуу алмашуусун жана ыйгарым укуктуу мүчөлөргө саясат менен ачкыч жаңыртууларын бөлүштүргөн түртүү алмашуусун аныктайт. Экөө тең коопсуздук ассоциацияларын башкарат. Экөө тең тиркеменин маалымат агымы эмес, ошондуктан ийгиликтүү алмашуу башкаруу каналы иштегенин гана далилдейт. Мүчө таза катталып, жарактуу ачкычтарды кармап, бирок маалымат саясаты туура эмес болсо, трафикти коргоодон же өткөрүп берүүдөн ийгиликсиз болушу мүмкүн. Кайсы алмашуу эмнени алып жүргөнүн билгенде бул эки бузулуу такыр башкача көрүнөт.

Стандарт ошондой эле ачкыч жаңыртуу билдирүүлөрүн коргогон ачкыч жаңыртуу коопсуздук ассоциациясын мүчөлөр трафикти кантип коргой турганын сүрөттөгөн маалымат коопсуздук ассоциацияларынан өзүнчө атайт.

Диаграмманы эмес, алмашууларды ээрчиңиз

Ар бир билдирүү эмне үчүн экенин караңыз. Каттоо контроллерге кайсы мүчө сурап жатканын айтып, абалды түзөт; ачкыч жаңыртуу мүчөлөргө саясат же ачкычтар өзгөргөнүн айтат; андан кийин корголгон тиркеме трафиги орнотулган маалымат коопсуздук ассоциациясын колдонуп мүчөлөрдүн ортосунда агат. Контроллердин дареги алгачкы экөөндө көрүнөт жана үчүнчүсүндө такыр көрүнбөшү мүмкүн.

Ошондуктан физикалык жакындык боюнча тартылган интерфейс диаграммасы бул жерде адаштырат. Контроллердин интерфейси башкаруу булагы, ар бир шифрленген пакет үчүн автоматтык түрдө кийинки секирик эмес.

Сактоого татыктуу үч жазуу

Мүчөнүн аутентификацияланган каттоосун жана жете алган башкаруу булагын, кийинки ачкыч жаңыртууларын жеткирген жолду, ошондой эле корголгон тиркеме трафигин ташыган маршруттарды жана туташууларды жазыңыз. Үч жазуу, үч ээ, жана алардын кайсынысында болбосун бузулуу башка симптом берет. Катталып, андан кийин эч качан жаңыртуу албаган мүчө эскирген саясат менен катталган мүчөгө окшош көрүнөт, эгер эки жазуу тең сизде болбосо.

Буларды бирөөнүн эсинде эмес, конфигурациянын жанында кармаңыз. Мүчөлүк өзгөрүүлөрү сейрек болгондуктан, ой жүгүртүү керек болгонго чейин ар дайым жоголуп кетет.

Интерфейс, кызмат туташуусу, иштетүү жолу

Кызматка негизделген шлюзда дагы бир айырма бар: физикалык төмөнкү катмардын дареги жергиликтүү кызмат туташуусу менен бирдей эмес, ал эми трафиктин анын IPsec иштетүү жолуна кантип жетээрин платформанын ишке ашырылышы чечет. Ката билдирүүсү кызмат интерфейсинин эрежесин атаганы үчүн кызматты физикалык интерфейске жылдыруу же байланышсыз котормо кошуу — оңдоонун кийимин кийген божомол.

Кызмат туташуусу трафикти кантип кабыл алганы тууралуу платформанын өзүнүн документтерин окуңуз. Протокол стандарттуу болсо да механизм жеткирүүчүгө таандык.

Стандартташкан протокол билдирүүлөрү да жеткирүүчүлөр аралык шайкештикти орнотпойт. Эки ишке ашыруу бирге иштейт деп божомолдоого чейин керектүү функцияларды, саясат жана ассоциация атрибуттарын, аутентификация ыкмасын жана так платформа менен чыгарылышын салыштырыңыз.

Башкаруунун жеткиликтүүлүгү жана маалыматты өткөрүп берүү өзүнчө текшерүүлөр

Контроллердин жеткиликтүүлүгүн кадимки иш, мүчөлүк өзгөрүүлөрү жана ачкыч жаңыртуулары үчүн пландаңыз. Мурунтан орнотулган абалда ийгиликтүү болгон тиркеме алмашуусу кийинки каттоо же жаңыртуу мүчөгө жете аларын далилдебейт, ал эми алдыңкы айырма адатта бир нече сааттан кийин жаңы мүчөлөрдү кабыл алууну токтоткон туннель катары байкалат. Жөн гана иштеп жаткан сессияны эмес, жаңы каттоону сынаңыз.

Анан өткөрүп берүүнү контроллерсуз өзүнчө сынаңыз. Эки текшерүү, эки жыйынтык жана кайсы жарымы бузулганы тууралуу алда канча кыска талкуу.