GDOI: varför nyckelservern inte ligger på din dataväg

Gruppens nyckelserver distribuerar policy och nycklar till medlemmarna, och medlemmarna skyddar själva trafiken. Den meningen låter som en formalitet tills en design behandlar styrenheten som en relä för varje skyddat paket; då får topologin ett hopp som den aldrig behövde och trafikvägen beror på en enhet som bara skulle dela ut tillstånd. Att säga var nyckelservern sitter och att säga vart data flödar är två olika diagram, och GDOI är byggt kring just den skillnaden. Att vända på det är inte ett litet modelleringsfel, eftersom det ändrar vad du övervakar och vad du skalar. Avsnitten nedan följer protokollets egen uppdelning.

Två typer av säkerhetstillstånd

RFC 6407 definierar medlemmens dragningsutbyte för att begära policy och nyckelmaterial, och ett knuffutbyte som distribuerar policy och nyckeluppdateringar till auktoriserade medlemmar. Båda hanterar säkerhetsassociationer. Ingen av dem är applikationens dataflöde, så ett lyckat utbyte bevisar bara att kontrollkanalen fungerade. En medlem kan registrera sig rent, hålla giltiga nycklar och ändå misslyckas med att skydda eller vidarebefordra trafik om dess datapolicy är fel. De två felen ser helt olika ut när du vet vilket utbyte som bär vilket.

Standarden namnger också en säkerhetsassociation för nyckelförnyelse som skyddar nyckeluppdateringsmeddelanden, åtskild från datasäkerhetsassociationerna som beskriver hur medlemmar skyddar trafik.

Följ utbytena, inte diagrammet

Titta på vad varje meddelande är till för. Registreringen berättar för styrenheten vilken medlem som frågar och upprättar tillstånd; nyckelförnyelsen berättar för medlemmarna att policy eller nycklar har ändrats; därefter flödar skyddad applikationstrafik mellan medlemmarna via den installerade datasäkerhetsassociationen. Styrenhetens adress förekommer i de två första och behöver inte förekomma alls i den tredje.

Det är därför ett gränssnittsdiagram ritat efter fysisk närhet vilseleder här. Styrenhetens gränssnitt är en kontrollkälla, inte automatiskt nästa hopp för varje krypterat paket.

Tre poster värda att spara

Skriv ned medlemmens autentiserade registrering och den kontrollkälla den kan nå, vägen som levererar senare nyckeluppdateringar, samt de rutter och anslutningar som bär skyddad applikationstrafik. Tre poster, tre ägare, och ett fel i vilken som helst av dem ger ett annat symptom. En medlem som registrerar sig och sedan aldrig får en uppdatering ser identisk ut med en medlem som registrerade sig med inaktuell policy, om du inte har båda posterna.

Förvara dessa bredvid konfigurationen i stället för i någons minne. Medlemskapsändringar är tillräckligt sällsynta för att resonemanget alltid är borta när det behövs.

Gränssnitt, tjänstekoppling, bearbetningsväg

På en tjänstebaserad gateway finns ytterligare en skillnad: den fysiska underlagsadressen är inte samma sak som den lokala tjänstekopplingen, och plattformens implementering avgör hur trafik når dess IPsec-bearbetningsväg. Att flytta en tjänst till ett fysiskt gränssnitt eller lägga till orelaterad översättning eftersom ett felmeddelande nämnde en tjänstegränssnittsregel är en gissning klädd som en rättelse.

Läs plattformens egen dokumentation om hur tjänstekopplingen tar emot trafik. Mekanismen är leverantörsspecifik även när protokollet är standard.

Standardiserade protokollmeddelanden etablerar inte heller kompatibilitet mellan leverantörer. Jämför nödvändiga funktioner, policy- och associationsattribut, autentiseringsmetod samt den exakta plattformen och versionen innan du antar att två implementeringar kan samverka.

Kontrolltillgänglighet och datavidarebefordran är separata kontroller

Planera styrenhetens nåbarhet för normal drift, för medlemskapsändringar och för nyckeluppdateringar. Ett applikationsutbyte som lyckas på redan installerat tillstånd bevisar inte att nästa registrering eller förnyelse kan nå medlemmen, och gapet visar sig vanligtvis timmar senare som en tunnel som slutar ta emot nya medlemmar. Testa en färsk registrering, inte bara en fungerande session.

Testa sedan vidarebefordran separat, med styrenheten utanför bilden. Två kontroller, två resultat och en mycket kortare diskussion om vilken halva som är trasig.