GDOI: por que o servidor de chaves não está no seu caminho de dados

O servidor de chaves de grupo distribui política e chaves pelos membros, e os membros protegem eles próprios o tráfego. Esta frase soa a formalidade até um desenho tratar o controlador como um relé para cada pacote protegido; aí a topologia ganha um salto de que nunca precisou e o caminho do tráfego passa a depender de um dispositivo que só devia distribuir estado. Dizer onde está o servidor de chaves e dizer por onde fluem os dados são dois diagramas diferentes, e o GDOI é construído em torno dessa diferença. Invertê-la não é um pequeno erro de modelação, porque muda o que monitoriza e o que escala. As secções abaixo seguem a divisão própria do protocolo.

Dois tipos de estado de segurança

RFC 6407 define a troca de tração do membro para pedir política e material de chave, e uma troca de impulsão que distribui política e atualizações de chaves pelos membros autorizados. Ambas gerem associações de segurança. Nenhuma é o fluxo de dados da aplicação, por isso uma troca bem-sucedida só prova que o canal de controlo funcionou. Um membro pode registar-se de forma limpa, deter chaves válidas e ainda assim não proteger nem encaminhar tráfego se a sua política de dados estiver errada. As duas falhas não se parecem nada uma com a outra depois de saber qual troca transporta qual.

A norma também nomeia uma associação de segurança de renovação de chaves que protege as mensagens de atualização de chaves, separada das associações de segurança de dados que descrevem como os membros protegem o tráfego.

Siga as trocas, não o diagrama

Veja para que serve cada mensagem. O registo diz ao controlador qual membro está a perguntar e estabelece estado; a renovação diz aos membros que a política ou as chaves mudaram; depois o tráfego protegido da aplicação flui entre os membros usando a associação de segurança de dados instalada. O endereço do controlador aparece nas duas primeiras e não precisa de aparecer nada na terceira.

É por isso que um diagrama de interfaces desenhado por adjacência física aqui engana. A interface do controlador é uma fonte de controlo, não automaticamente o próximo salto de cada pacote cifrado.

Três registos que vale a pena guardar

Anote o registo autenticado do membro e a fonte de controlo que consegue alcançar, o caminho que entrega as atualizações de chaves seguintes, e as rotas e os anexos que transportam o tráfego protegido da aplicação. Três registos, três responsáveis, e uma falha em qualquer um deles produz um sintoma diferente. Um membro que se regista e depois nunca recebe uma atualização parece idêntico a um membro registado com política obsoleta, a menos que tenha os dois registos.

Guarde isto ao lado da configuração e não na memória de alguém. As mudanças de pertença são suficientemente raras para o raciocínio já ter desaparecido quando é preciso.

Interface, anexo de serviço, caminho de processamento

Num gateway baseado em serviços há mais uma distinção: o endereço físico subjacente não é o mesmo que o anexo local de serviço, e a implementação da plataforma decide como o tráfego chega ao seu caminho de processamento IPsec. Mover um serviço para uma interface física ou acrescentar tradução não relacionada porque uma mensagem de erro mencionou uma regra de interface de serviço é um palpite vestido de correção.

Leia a documentação da própria plataforma sobre como o anexo de serviço recebe tráfego. O mecanismo é específico do fornecedor mesmo quando o protocolo é padrão.

As mensagens de protocolo normalizadas também não estabelecem compatibilidade entre fornecedores. Compare as funcionalidades exigidas, os atributos de política e associação, o método de autenticação e a plataforma e versão exatas antes de assumir que duas implementações vão interoperar.

Disponibilidade do controlo e encaminhamento de dados são verificações separadas

Planeie a alcançabilidade do controlador para a operação normal, para mudanças de pertença e para atualizações de chaves. Uma troca de aplicação que tem sucesso sobre estado já instalado não prova que o próximo registo ou renovação consiga alcançar o membro, e a lacuna aparece normalmente horas depois como um túnel que deixa de aceitar novos membros. Teste um registo novo, não apenas uma sessão a funcionar.

Depois teste o encaminhamento separadamente, com o controlador fora da imagem. Duas verificações, dois resultados e uma discussão muito mais curta sobre qual metade está avariada.