GDOI: зошто серверот за клучеви не е на вашата податочна патека

Групниот сервер за клучеви распределува политика и клучеви на членовите, а членовите сами го штитат сообраќајот. Оваа реченица звучи како формалност сѐ уште додека некој дизајн не почне да го третира контролерот како реле за секој заштитен пакет; тогаш топологијата добива скок што никогаш не ѝ бил потребен и патеката на сообраќајот зависи од уред што требало само да распределува состојба. Да се каже каде е серверот за клучеви и да се каже каде течат податоците се два различни дијаграма, а GDOI е изграден токму околу таа разлика. Да се разбере обратно не е мала грешка во моделирањето, бидејќи го менува тоа што го следите и тоа што го скалирате. Следните делови ја следат сопствената поделба на протоколот.

Два вида безбедносна состојба

RFC 6407 го дефинира разменувањето со влечење на членот за барање политика и клучен материјал и разменување со туркање што распределува политика и обновувања на клучеви на овластени членови. Двете управуваат со безбедносни асоцијации. Ниту една не е податочниот тек на апликацијата, така што успешната размена докажува само дека контролниот канал работел. Членот може чисто да се регистрира, да држи важечки клучеви и сепак да не успее да го заштити или препрати сообраќајот ако неговата податочна политика е погрешна. Двете грешки изгледаат сосема различно кога ќе знаете која размена која ја носи.

Стандардот исто така именува безбедносна асоцијација за обновување на клучеви што ги штити пораките за обновување на клучеви, одделно од податочните безбедносни асоцијации што опишуваат како членовите го штитат сообраќајот.

Следете ги размените, не дијаграмот

Погледнете за што служи секоја порака. Регистрацијата му кажува на контролерот кој член прашува и воспоставува состојба; обновувањето на клучеви им кажува на членовите дека политиката или клучевите се смениле; потоа заштитениот апликациски сообраќај тече меѓу членовите користејќи ја инсталираната податочна безбедносна асоцијација. Адресата на контролерот се појавува во првите две и воопшто не мора да се појави во третата.

Затоа дијаграмот на интерфејси нацртан според физичка соседност овде доведува во заблуда. Интерфејсот на контролерот е извор на контрола, а не автоматски следниот скок за секој шифриран пакет.

Три записи што вреди да се чуваат

Запишете ја автентифицираната регистрација на членот и контролниот извор до кој може да стигне, патеката што ги доставува следните обновувања на клучеви и маршрутите и приклучоците што го носат заштитениот апликациски сообраќај. Три записи, три сопственици, а дефект во било кој од нив дава различен симптом. Член што се регистрира и потоа никогаш не добива обновување изгледа исто како член регистриран со застарена политика, освен ако ги имате двата записи.

Чувајте ги овие покрај конфигурацијата, а не во нечие сеќавање. Промените во членството се доволно ретки што образложението секогаш изчезнало до моментот кога е потребно.

Интерфејс, приклучок на услуга, патека на обработка

На порта заснована на услуги има уште една разлика: адресата на физичката основа не е иста како локалниот приклучок на услуга, а имплементацијата на платформата одлучува како сообраќајот стигнува до нејзината патека за обработка на IPsec. Преместувањето на услуга на физички интерфејс или додавањето неповрзано преведување затоа што порака за грешка спомнала правило за интерфејс на услуга е претпоставка облечена како поправка.

Прочитајте ја сопствената документација на платформата за тоа како приклучокот на услуга прима сообраќај. Механизмот е специфичен за добавувачот дури и кога протоколот е стандарден.

Стандардизираните протоколски пораки исто така не воспоставуваат компатибилност меѓу добавувачи. Споредете ги бараните функции, атрибутите на политиката и асоцијацијата, методот на автентикација и точната платформа и издание пред да претпоставите дека две имплементации ќе соработуваат.

Достапноста на контролата и препраќањето податоци се одделни проверки

Планирајте ја достапноста на контролерот за нормално работење, за промени во членството и за обновувања на клучеви. Апликациска размена што успева на веќе инсталирана состојба не докажува дека следната регистрација или обновување може да стигне до членот, а јазот обично се појавува часови подоцна како тунел што престанува да прима нови членови. Тестирајте свежа регистрација, не само работна сесија.

Потоа тестирајте го препраќањето одделно, без контролерот. Две проверки, два резултата и многу пократок спор за тоа која половина е расипана.