GDOI: dlaczego serwer kluczy nie leży na ścieżce danych

Grupowy serwer kluczy rozdaje politykę i klucze członkom, a członkowie sami chronią ruch. To zdanie brzmi jak formalność, dopóki projekt nie zacznie traktować kontrolera jako przekaźnika każdego chronionego pakietu; wtedy topologia zyskuje skok, którego nigdy nie potrzebowała, a ścieżka ruchu zależy od urządzenia, które miało tylko wydawać stan. Powiedzenie, gdzie siedzi serwer kluczy, i powiedzenie, gdzie płyną dane, to dwa różne diagramy, a GDOI jest zbudowany właśnie wokół tej różnicy. Odwrócenie tego nie jest małym błędem modelowania, bo zmienia to, co monitorujesz i co skalujesz. Poniższe sekcje idą za własnym podziałem protokołu.

Dwa rodzaje stanu bezpieczeństwa

RFC 6407 definiuje wymianę ciągnięcia członka służącą do żądania polityki i materiału kluczowego oraz wymianę pchania, która rozprowadza politykę i aktualizacje kluczy autoryzowanym członkom. Obie zarządzają asocjacjami bezpieczeństwa. Żadna nie jest strumieniem danych aplikacji, więc udana wymiana dowodzi tylko, że kanał sterowania działał. Członek może czysto się zarejestrować, trzymać ważne klucze i mimo to nie chronić ani nie przekazywać ruchu, jeśli jego polityka danych jest błędna. Te dwa błędy wyglądają zupełnie inaczej, gdy wiesz, która wymiana który niesie.

Standard nazywa też asocjację bezpieczeństwa odświeżania kluczy, która chroni komunikaty o aktualizacji kluczy, oddzielnie od asocjacji bezpieczeństwa danych opisujących, jak członkowie chronią ruch.

Śledź wymiany, nie diagram

Spójrz, do czego służy każdy komunikat. Rejestracja mówi kontrolerowi, który członek pyta, i ustanawia stan; odświeżenie kluczy mówi członkom, że polityka lub klucze się zmieniły; potem chroniony ruch aplikacji płynie między członkami przez zainstalowaną asocjację bezpieczeństwa danych. Adres kontrolera pojawia się w pierwszych dwóch i wcale nie musi pojawiać się w trzeciej.

Dlatego diagram interfejsów narysowany według fizycznego sąsiedztwa tutaj wprowadza w błąd. Interfejs kontrolera jest źródłem sterowania, a nie automatycznie następnym skokiem każdego zaszyfrowanego pakietu.

Trzy zapisy warte zachowania

Zapisz uwierzytelnioną rejestrację członka i źródło sterowania, do którego może dotrzeć, ścieżkę dostarczającą kolejne aktualizacje kluczy oraz trasy i przyłącza, które niosą chroniony ruch aplikacji. Trzy zapisy, trzej właściciele, a awaria w którymkolwiek z nich daje inny objaw. Członek, który rejestruje się i potem nigdy nie otrzymuje aktualizacji, wygląda identycznie jak członek zarejestrowany z nieaktualną polityką, chyba że masz oba zapisy.

Trzymaj je obok konfiguracji, a nie w czyjejś pamięci. Zmiany członkostwa są tak rzadkie, że uzasadnienie zawsze zdąży zniknąć, zanim będzie potrzebne.

Interfejs, przyłącze usługi, ścieżka przetwarzania

Na bramie opartej na usługach jest jeszcze jedna różnica: adres fizycznego podkładu nie jest tym samym co lokalne przyłącze usługi, a implementacja platformy decyduje, jak ruch dociera do jej ścieżki przetwarzania IPsec. Przenoszenie usługi na interfejs fizyczny lub dodawanie niepowiązanego tłumaczenia, bo komunikat błędu wspomniał regułę interfejsu usługi, to domysł ubrany w poprawkę.

Przeczytaj własną dokumentację platformy o tym, jak przyłącze usługi odbiera ruch. Mechanizm jest specyficzny dla dostawcy, nawet gdy protokół jest standardowy.

Standaryzowane komunikaty protokołu też nie ustanawiają zgodności między dostawcami. Porównaj wymagane funkcje, atrybuty polityki i asocjacji, metodę uwierzytelniania oraz dokładną platformę i wydanie, zanim założysz, że dwie implementacje będą współpracować.

Dostępność sterowania i przekazywanie danych to osobne kontrole

Zaplanuj osiągalność kontrolera dla zwykłej pracy, dla zmian członkostwa i dla aktualizacji kluczy. Wymiana aplikacji, która udaje się na już zainstalowanym stanie, nie dowodzi, że następna rejestracja lub odświeżenie dotrze do członka, a luka zwykle pojawia się godziny później jako tunel, który przestaje przyjmować nowych członków. Przetestuj świeżą rejestrację, a nie tylko działającą sesję.

Potem przetestuj przekazywanie osobno, bez kontrolera. Dwie kontrole, dwa wyniki i znacznie krótszy spór o to, która połowa jest zepsuta.