GDOI: hvorfor nøkkelserveren ikke er på datastien din

Gruppens nøkkelserver distribuerer policy og nøkler til medlemmene, og medlemmene beskytter trafikken selv. Den setningen høres ut som en formalitet helt til en design behandler kontrolleren som et relé for hver beskyttet pakke; da får topologien et hopp den aldri trengte, og trafikkveien avhenger av en enhet som bare skulle dele ut tilstand. Å si hvor nøkkelserveren står, og å si hvor dataene flyter, er to forskjellige diagrammer, og GDOI er bygget rundt nettopp denne forskjellen. Å snu det er ikke en liten modelleringsfeil, fordi det endrer hva du overvåker og hva du skalerer. Avsnittene nedenfor følger protokollens egen inndeling.

To typer sikkerhetstilstand

RFC 6407 definerer medlemmets trekkeutveksling for å be om policy og nøkkelmateriale, og en skyveutveksling som distribuerer policy og nøkkeloppdateringer til autoriserte medlemmer. Begge styrer sikkerhetsassosiasjoner. Ingen av dem er applikasjonens datastrøm, så en vellykket utveksling beviser bare at kontrollkanalen virket. Et medlem kan registrere seg rent, holde gyldige nøkler og likevel ikke beskytte eller videresende trafikk hvis datapolicyen er feil. De to feilene ser helt forskjellige ut når du vet hvilken utveksling som bærer hvilken.

Standarden navngir også en sikkerhetsassosiasjon for nøkkeloppdatering som beskytter nøkkeloppdateringsmeldinger, atskilt fra sikkerhetsassosiasjonene for data som beskriver hvordan medlemmer beskytter trafikk.

Følg utvekslingene, ikke diagrammet

Se på hva hver melding er for. Registreringen forteller kontrolleren hvilket medlem som spør og etablerer tilstand; nøkkeloppdateringen forteller medlemmene at policy eller nøkler er endret; deretter flyter beskyttet applikasjonstrafikk mellom medlemmene via den installerte sikkerhetsassosiasjonen for data. Kontrollerens adresse vises i de to første og trenger ikke vises i det hele tatt i den tredje.

Derfor et grensesnittdiagram tegnet etter fysisk naboskap villeder her. Kontrollerens grensesnitt er en kontrollkilde, ikke automatisk neste hopp for hver kryptert pakke.

Tre oppføringer det er verdt å ta vare på

Skriv ned medlemmets autentiserte registrering og kontrollkilden det kan nå, veien som leverer senere nøkkeloppdateringer, og rutene og tilkoblingene som bærer beskyttet applikasjonstrafikk. Tre oppføringer, tre eiere, og en feil i enhver av dem gir et annet symptom. Et medlem som registrerer seg og deretter aldri mottar en oppdatering, ser identisk ut med et medlem som registrerte seg med utdatert policy, med mindre du har begge oppføringene.

Oppbevar disse ved siden av konfigurasjonen i stedet for i noens hukommelse. Endringer i medlemskap er sjeldne nok til at begrunnelsen alltid er borte når den trengs.

Grensesnitt, tjenestetilkobling, behandlingsvei

På en tjenestebasert gateway er det en ytterligere forskjell: den fysiske underlagsadressen er ikke det samme som den lokale tjenestetilkoblingen, og plattformens implementering avgjør hvordan trafikk når dens IPsec-behandlingsvei. Å flytte en tjeneste til et fysisk grensesnitt eller legge til urelatert oversettelse fordi en feilmelding nevnte en tjenestegrensesnittregel, er en gjetning kledd som en rettelse.

Les plattformens egen dokumentasjon om hvordan tjenestetilkoblingen mottar trafikk. Mekanismen er leverandørspesifikk selv når protokollen er standard.

Standardiserte protokollmeldinger etablerer heller ikke kompatibilitet mellom leverandører. Sammenlign nødvendige funksjoner, policy- og assosiasjonsattributter, autentiseringsmetode og den nøyaktige plattformen og versjonen før du antar at to implementasjoner vil samhandle.

Kontrolltilgjengelighet og datavideresending er separate kontroller

Planlegg kontrollerens tilgjengelighet for vanlig drift, for endringer i medlemskap og for nøkkeloppdateringer. En applikasjonsutveksling som lykkes på allerede installert tilstand, beviser ikke at den neste registreringen eller oppdateringen kan nå medlemmet, og gapet viser seg vanligvis timer senere som en tunnel som slutter å ta imot nye medlemmer. Test en fersk registrering, ikke bare en fungerende sesjon.

Test deretter videresending separat, med kontrolleren ute av bildet. To kontroller, to resultater og en mye kortere diskusjon om hvilken halvdel som er ødelagt.