GDOI: waarom de sleutelserver niet op je datapad ligt

De groepssleutelserver verdeelt beleid en sleutels aan de leden, en de leden beveiligen zelf het verkeer. Die zin klinkt als een formaliteit tot een ontwerp de controller als relay voor elk beveiligd pakket behandelt; dan krijgt de topologie een hop die ze nooit nodig had en hangt het verkeerspad af van een apparaat dat alleen status mocht uitdelen. Zeggen waar de sleutelserver zit en zeggen waar de gegevens stromen zijn twee verschillende diagrammen, en GDOI is rond precies dat verschil gebouwd. Het omdraaien is geen kleine modelleringsfout, want het verandert wat je bewaakt en wat je schaalt. De paragrafen hieronder volgen de eigen opdeling van het protocol.

Twee soorten beveiligingsstatus

RFC 6407 definieert de trek-uitwisseling van het lid om beleid en sleutelmateriaal aan te vragen, en een duw-uitwisseling die beleid en sleutelupdates aan geautoriseerde leden verdeelt. Beide beheren beveiligingsassociaties. Geen van beide is de datastroom van de applicatie, dus een geslaagde uitwisseling bewijst alleen dat het controlekanaal werkte. Een lid kan schoon registreren, geldige sleutels houden en toch verkeer niet beveiligen of doorsturen als zijn databeleid verkeerd is. De twee storingen zien er totaal anders uit zodra je weet welke uitwisseling welke draagt.

De standaard noemt ook een sleutelupdate-beveiligingsassociatie die sleutelupdatemeldingen beschermt, los van de databeveiligingsassociaties die beschrijven hoe leden verkeer beveiligen.

Volg de uitwisselingen, niet het diagram

Kijk waarvoor elk bericht dient. Een registratie vertelt de controller welk lid vraagt en zet status op; een sleutelupdate vertelt de leden dat beleid of sleutels zijn veranderd; daarna stroomt beveiligd applicatieverkeer tussen de leden via de geïnstalleerde databeveiligingsassociatie. Het adres van de controller verschijnt in de eerste twee en hoeft in de derde helemaal niet te verschijnen.

Daarom een interfacediagram dat op fysieke nabijheid is getekend, hier misleidt. De interface van de controller is een controlebron, niet automatisch de volgende hop voor elk versleuteld pakket.

Drie registraties die het waard zijn te bewaren

Schrijf de geauthenticeerde registratie van het lid en de controlebron die het kan bereiken op, het pad dat latere sleutelupdates levert, en de routes en aansluitingen die beveiligd applicatieverkeer dragen. Drie registraties, drie eigenaren, en een fout in een ervan geeft een ander symptoom. Een lid dat zich registreert en daarna nooit een update ontvangt, ziet er identiek uit als een lid dat zich met verouderd beleid registreerde, tenzij je beide registraties hebt.

Bewaar deze naast de configuratie in plaats van in iemands geheugen. Lidmaatschapswijzigingen zijn zeldzaam genoeg dat de redenering altijd weg is tegen de tijd dat ze nodig is.

Interface, servicekoppeling, verwerkingspad

Op een servicegebaseerde gateway is er nog een onderscheid: het fysieke underlayadres is niet hetzelfde als de lokale servicekoppeling, en de implementatie van het platform bepaalt hoe verkeer zijn IPsec-verwerkingspad bereikt. Een service naar een fysieke interface verplaatsen of een ongerelateerde vertaling toevoegen omdat een foutmelding een service-interface-regel noemde, is een gok in het gewaad van een reparatie.

Lees de eigen documentatie van het platform over hoe de servicekoppeling verkeer ontvangt. Het mechanisme is leverancierspecifiek, zelfs wanneer het protocol standaard is.

Gestandaardiseerde protocolberichten stellen ook geen compatibiliteit tussen leveranciers vast. Vergelijk vereiste functies, beleids- en associatieattributen, authenticatiemethode en het exacte platform en de release voordat je aanneemt dat twee implementaties samenwerken.

Controlebeschikbaarheid en datadoorsturing zijn aparte controles

Plan de bereikbaarheid van de controller voor normaal bedrijf, voor lidmaatschapswijzigingen en voor sleutelupdates. Een applicatie-uitwisseling die slaagt op al geïnstalleerde status bewijst niet dat de volgende registratie of update het lid kan bereiken, en de kloof verschijnt meestal uren later als een tunnel die stopt met het accepteren van nieuwe leden. Test een verse registratie, niet alleen een werkende sessie.

Test daarna het doorsturen apart, met de controller buiten beeld. Twee controles, twee resultaten en een veel kortere discussie over welke helft stuk is.