要約

  • RFC 3456 は一時的な IPsec SA の中で DHCPv4 を動かし、リース、アドレスプール、オプション、再設定、フェイルオーバーを既存の設定系に残した。IKE の中に同じ仕組みを再構築しなかった。
  • DHCPACK と内側のリースアドレスは設定の受領証であり、アクセス資格ではない。ホストは別の送信元アドレスを自ら設定でき、ゲートウェイから DHCP サーバまでの区間も別途保護しなければならない。

外側と内側は別の事実だった

2003 年 1 月の RFC 3456 は、インターネット向けの外側アドレスと、イントラネット向け仮想インターフェースの内側アドレスを持つ遠隔ホストを描いた。外側は IPsec トンネルの端点であり、内側は企業網から見える仮想的な位置である。転送には両方が必要だが、同じ身元証明ではない。

原文、RFC Editor の記録、Datatracker、履歴、参照文献、後続文献、正誤表検索は規格の記録を確定する。しかし、個別利用者の認可やアプリケーション到達を証明しない。

最初に IKE SA を作り、続いて DHCP だけを運ぶ短命のトンネルモード SA を Quick Mode で作る。DHCPDISCOVER または DHCPREQUEST がそこで流れ、アドレスとオプションを得た後、ホストは新しいアドレスを Quick Mode ID に用いて一般の VPN SA を結べる。設定用経路、リース、データ用トンネルは別々の状態遷移である。

DHCP の再利用が IKE を小さく保った

RFC 3457は遠隔アクセスの要求を整理した。RFC 2131と RFC 2132のオプションには、リース、プール、更新、各種設定が既にある。RFC 3442ならクラスレス静的経路も渡せる。RFC 3456 は、IKE を第二のアドレス管理サービスへ膨張させず、成熟した DHCP に設定状態を置いた。

仮想インターフェースにはハードウェア種別 31 が割り当てられた。クライアント識別子は仮想サブネット内で一意で、再起動後も持続することが望まれた。IANA の ARP パラメータ登録簿にその履歴が残る。一意性と持続性は相関の助けであり、人や権限の証明ではない。

リレーが保護範囲の継ぎ目を露出した

通常、セキュリティゲートウェイは DHCP サーバではなくリレーとして動く。giaddr を入れるか、RFC 3046のリレーエージェント情報を使い、トンネルの仮想ポートを Circuit ID に表せる。DHCPACK の yiaddr を読み、内側アドレスへの戻り経路を設定することもできる。

それでも IPsec が認証し完全性を守るのは、遠隔ホストからゲートウェイまでに限られる。ゲートウェイから DHCP サーバまでには RFC 3118など別の保護が必要だ。一つの区間の安全性は次の区間へ自動継承されない。

さらに遠隔ホストは IP アドレスを自分で設定できる。したがって認証済み DHCP でさえアクセス制御にはならず、RFC 3456 は割り当てアドレスをセキュリティ根拠にしてはならないとした。認証済みトンネルに結び付くフィルタや Quick Mode セレクタが必要である。RFC 2401と RFC 2409は当時の IPsec と IKE の枠組みを示すが、特定装置のルール実装を証明しない。

ACK は長い証拠列の一枚だった

DHCPACK は設定応答を示す。Circuit ID は返送先トンネルを示す。経路表は局所的な転送判断を示し、SPD やセレクタは政策との結合を示す。実際のパケットとアプリケーション応答は、さらに後の出来事を示す。内側アドレス一つで全部を代用すれば、アクセスの根拠が見えなくなる。

Heng Lu の現実レイヤー論は受領証を分離する助けになる。稼働コード優先は、図ではなく実際の経路、セレクタ、パケットを見るよう求める。最小初期仕様は DHCP 再利用の価値を説明する。いずれも後世の編集上の視座であり、RFC 著者の私的意図を示す資料ではない。

RFC 3456 はリースを認可と呼ばないことで DHCP を弱めたのではない。DHCP の権限を設定に限定し、正確にした。仮想的な存在に何を許すかは、現在のトンネル身元とゲートウェイ政策がなお決めなければならない。

出典