Zusammenfassung

  • RFC 10011 stellt YANG-Module zur Konfiguration von RESTCONF-Clients und -Servern einschließlich Call Home bereit. Eine konfigurierte Beziehung ist kein Beleg für eine ausgeführte Beziehung.
  • RFC 8071 dreht nur den TCP-Initiator um. Die Gegenstelle muss den präsentierten Schlüssel oder das Zertifikat weiterhin gegen eine vor der Verbindung bekannte Erwartung prüfen.
  • Belastbare Steuerung trennt Soll-Konfiguration, TCP-Annahme, Identitätsprüfung, RESTCONF-Authentisierung und lokale Änderungsfreigabe.

Reichbarkeit ist keine Zurechnung

Call Home beantwortet ein Reichbarkeitsproblem. Geräte können dynamische Adressen haben, hinter einem NAT oder einer restriktiven Firewall stehen und keine offenen Verwaltungsports anbieten. Der RESTCONF-Server im Gerät beginnt deshalb TCP zum RESTCONF-Client der Verwaltung. Für die Ersteinrichtung und für abgeschottete Umgebungen kann das vernünftig sein.

RFC 8071 begrenzt jedoch ausdrücklich, was sich dadurch ändert. Nur auf TCP-Ebene beginnt der Server die Verbindung. Bei TLS und RESTCONF bleibt er Server; das Management bleibt Client. Die Richtung der ersten Pakete verschiebt weder die Rollen der sicheren Schicht noch die Pflicht zur unabhängigen Gegenstellenprüfung.

Eine Quelladresse, ein Zeitfenster, ein erwarteter Port und ein passender Konfigurationseintrag sind Korrelationsdaten. Sie sagen nicht selbständig, welches Gerät die Verbindung eröffnet hat. Wer aus ihnen eine Identität ableitet, lässt die Topologie das Urteil sprechen, das eigentlich die Vertrauensprüfung treffen muss.

Konfiguration ist eine Absicht, kein Betriebsprotokoll

RFC 10011 gehört zu einem Satz von YANG-Modellen für Truststore, Keystore, TCP, SSH, TLS, HTTP, NETCONF und RESTCONF. Damit lässt sich eine gewünschte Verbindung nachvollziehbar beschreiben. Das ist der Gewinn der Norm: ein interoperabler, prüfbarer Wortschatz für Absicht und Struktur.

Der Gewinn endet dort, wo ein Modell als Laufzeitbeweis gelesen wird. Ein konfigurierter Endpoint beweist keinen gebundenen Listener. Ein gebundener Listener beweist keine Ankunft. Eine angenommene TCP-Verbindung beweist keinen erfolgreichen TLS-Handschlag. Ein erfolgreicher TLS-Handschlag beweist keine RESTCONF-Authentisierung. Und eine authentisierte Sitzung beweist keine Zustimmung zu einer konkreten Dienständerung.

Die NMDA aus RFC 8342 trennt Konfigurations- und Betriebsdaten nicht aus formaler Liebe zur Datenbank. Sie schützt die Frage, welche Beobachtung tatsächlich gemacht wurde. Sollzustand darf eine Hypothese anleiten; er darf nicht als Istzustand rückdatiert werden.

Der Referenzwert darf nicht vom ankommenden Peer stammen

RFC 8071 verlangt, dass der Client den vom Server präsentierten Hostschlüssel oder das Zertifikat validiert. Möglich sind eine Kette zu einem vorkonfigurierten Aussteller oder ein früher vertrauter beziehungsweise gepinnter Wert. Bei der Zertifikatspfadprüfung muss der Client außerdem einen Identifier prüfen, den er vor dem Verbindungsversuch kannte. Seine eigenen Zugangsdaten müssen dem präsentierten Servermaterial vorher zugeordnet sein.

Diese Reihenfolge verhindert Selbstbeglaubigung. Ein Peer darf nicht mit einem Namen eintreffen und gleichzeitig bestimmen, dass genau dieser Name als Erwartung gilt. RFC 6125 formuliert denselben Gedanken über einen unabhängigen Referenz-Identifier. RFC 8071 weist zudem darauf hin, dass zu breit ausgestellte Zertifikate in Verbindung mit gemeinsamen Geheimnissen dazu führen können, dass ein Geheimnis an einen anderen, nur gleich erscheinenden Server gesendet wird.

Damit wird kein Angriff auf eine konkrete Installation behauptet. Es wird nur die Evidenzgrenze markiert: präsentiertes Zertifikat, erwartete Identität und angenommener TCP-Fluss sind drei verschiedene Tatsachen.

Fünf Tatsachen statt eines grünen Zustands

Der erste Datensatz enthält die erwartete Identität, den Trust Anchor, Listener, Transport und die Konfigurationsrevision. Der zweite enthält die konkrete TCP-Annahme. Der dritte hält Präsentat, Referenz und Validierungsergebnis fest. Der vierte dokumentiert RESTCONF-Konto, Authentisierung und Sitzungsumfang. Der fünfte enthält die genehmigte Operation, Service-Eigentümer, Zeitfenster und Rollback-Bedingung.

So wird ein negativer Befund präzise. Ein Zertifikatsfehler ist nicht automatisch ein Routingfehler. Eine gültige sichere Verbindung mit abgewiesenem RESTCONF-Konto ist ein Sitzungszulassungsbefund. Eine Sitzung, deren Änderung abgelehnt wird, kann die korrekte Wirkung einer lokalen Schutzregel sein. Keine Ebene muss die Bedeutung einer anderen erben.

Heng Lus Regel der minimalen Anfangsspezifikation lässt genau diese Aufteilung zu: Gemeinsame Regeln standardisieren die nachprüfbare Form und die technischen Prüfungen. Welche Identität vertraut wird, welche Rolle welche Operation beantragen darf und wann ein Dienst verändert wird, bleibt eine örtliche, freiwillige Entscheidung derjenigen, die die Folgen tragen.