الخلاصة

  • تُعدّل Policy Objects غير النشطة أولاً، ثم يُبنى Policy Summary ويُطلب تفعيله في عملية مستقلة قد تنجح أو تفشل. الجداول النشطة للقراءة فقط هي التي تصف ما تطبقه Fabric حالياً.
  • لا يثبت زوج SA النشط حماية حركة بعينها؛ يتطلب الحكم اتجاه الحركة وترتيب Traffic Selector وفعل bypass أو discard أو protect أو verify وSPI وtransform المتفاوض عليه.

الدوام يجيب عن التخزين فقط

يصف StorageType كيف تعيش المعلومة في الذاكرة. ينبه RFC إلى أن قيمة permanent(4) لا تفرض أن تكون معلومات الصف قابلة للكتابة. الدوام، وقابلية التعديل، والتفعيل ثلاث خصائص مستقلة.

يمكن للمدقق أن يرى صفاً دائماً ويعلن تطبيق الضابط. لكن الصف غير النشط يبقى نية. يعدل المدير قوائم الأعضاء والمضيفين المسموح لهم بالإدارة وقيود الاتصال والسمات، ثم ينشئ Summary جديداً ويستدعي التفعيل. بعد ذلك يجب قراءة المجموعة النشطة.

الإيصال الصحيح يحتفظ بالمحتوى المعد، والطلب، ونتيجة العملية، والحالة النشطة المرصودة. لا يجوز ملء الخطوة الرابعة من الأولى.

Summary يربط المراجع بالهاش

يشير Policy Summary إلى كل Policy Object نشط ويقرن المؤشر بهاش تشفيري. يربط ذلك الملخص بإصدار محدد من قوائم Switch وNode وIP Management وقيود الاتصال.

لا يثبت الهاش أن كل Switch استلم القيمة أو طبقها في اللحظة نفسها. كما أن اسم Fabric الإداري موجود في Switch Membership List لا في Summary. نقل الاسم من المكان الأسهل قد يحفظ البايتات ويغير المالك الدلالي.

الاتساق مضمون داخل الجلسة

تبقى Policy Objects النشطة وغير النشطة بعد انتهاء server session. أما اتساق القراءة فلا يضمنه RFC إلا داخل جلسة. قد يجمع المسح خارج القفل ملخصاً قديماً مع أعضاء جدد ويعرض حالة لم توجد قط.

يحتاج snapshot إلى هوية الخادم وFabric وmanagement instance وحدود الجلسة وsysUpTime والهاشات، لا إلى تقارب الطوابع الزمنية فقط.

المصادقة قد تنتج مادة لإنشاء SA

يدعم FC-SP بنى السر والشفرة والشهادة. يستطيع DH-CHAP وFCAP وFCPAP إجراء مصادقة متبادلة وتوليد مفتاح مشترك اختياري، وقد يستخدم المفتاح لإنشاء SA. ويستطيع IKEv2-AUTH الجمع بين المصادقة وإدارة SA.

الإعداد لا يثبت تنفيذ المعاملة، والمصادقة لا تثبت إنشاء SA، وSA لا تثبت مرور frame. وإذا تعذر الوصول إلى خادم تحقق خارجي مكوّن، قد تستخدم معلومات محلية. لذلك لا يثبت اسم البروتوكول المكوّن المسار الفعلي.

بروتوكول Fibre Channel ليس IPsec

يصف RFC إدارة SA بأنها جزء من IKEv2 ملائم لـFibre Channel ويقول صراحة إنها ليست IPsec. يحمي ESP_Header إطارات FC-2، ويحمي CT_Authentication وحدات CT_IU.

لكل SA نشطة SPI وعداد تسلسل وtransforms. SA أحادية الاتجاه لكنها توجد في زوج من النوع نفسه باتجاهين. لكل زوج نشط صف في t11FcSpSaPairTable. يثبت الصف الحالة لدى الكيان، لا حركة الاتجاهين ولا نجاح التطبيق.

محدد الحركة يمنح SA نطاقها

تُفحص Traffic Selectors بترتيب. بعضها يفرض bypass أو discard، وبعضها protect أو verify ويشير إلى SA. أول تطابق يحدد المعالجة.

وجود SPI نشط في Fabric لا يكفي للحكم على frame. يجب حفظ الاتجاه، والترتيب، والتطابق، والفعل، وSPI، وtransform. كما أن مقترحات المبادر وما يقبله المستجيب ليست النتيجة المتفاوض عليها.

العمر الافتراضي ليس العمر المتبقي

قد يقاس عمر SA بالوقت أو البايتات. لا يسري الافتراضي إلا إذا غابت قيمة صريحة. عند الحد تنتهي SA وقد تستبدل.

لا تمثل ثماني ساعات مكوّنة ثماني ساعات متبقية. يسجل الإيصال مصدر القيمة، والوحدة، والبداية، والاستهلاك، والحقبة، والنهاية، والبديل.

الإشعارات تصمت والعداد يستمر

قد يقع فشل المصادقة لكل frame داخل. لمنع الفيضان، يكبت النظام الإشعارات التالية بعد أول فشل على SA خلال نافذة. وبعد بلوغ عدد مكوّن من SAs المبلغة، قد يكبت حتى أول إشعار من SA أخرى.

يجب مع ذلك اكتشاف الفشل وعده. غياب trap قد يعني كبتاً، أو تعطيل الإشعار، أو ضياعاً لدى الجامع، أو إعادة تشغيل، أو عدم وقوع الحدث. لا بد من النافذة والحد والعدد المكبوت والعداد وsysUpTime.

سجل الرفض محدود

يتراوح t11FcSpAuRejectMaxRows من صفر إلى 1000. عند الامتلاء يحذف الصف الأقدم لصالح الرفض الجديد. بعد restart قد تقل الصفوف، وفي تنفيذ لا يدعم الجدول يبقى الحد صفراً.

الجدول الفارغ لا يثبت تاريخاً بلا رفض. ونوع آخر إشعار لا يغطي إلا ما بعد آخر تشغيل لنظام الإدارة.

العداد يحتاج إلى مالك

تحدد management instance وFabric والكيان والواجهة النطاق. يشير الصفر في InterfaceIndexOrZero إلى جميع واجهات المثيل نحو Fabric. قد تبقى المجاميع غير العابرة بعد اختفاء صفوف SA المؤقتة.

لا معنى موثوقاً لرقم بلا index tuple، ولا لفارق بلا sysUpTime وrestart ومعالجة التفاف Counter32.

إيصال القرار

للسياسة: جلسة متسقة، أسماء وهاشات غير نشطة، Summary مقترح، مصدر الطلب، الحالة، سبب الفشل، والمجموعة النشطة بعد التحول. لـSA: الكيان والواجهة والpeer والاتجاهان وSPI وtransforms والمحددات والعمر والعدادات. للفشل: تمكين الإشعار والنافذة والحد والكبت والسعة والحذف وإعادة التشغيل وتسليم الجامع.

تحتاج دعوى الاستخدام والتسليم إلى frame مرصود ونتيجة طبقة أعلى منفصلين.

المصادر