요약

  • RFC 3456은 DHCPv4를 임시 IPsec 터널 안에 두어 임대, 주소 풀, 옵션, 재구성, 페일오버가 IKE 내부에서 새로 만들어지는 대신 기존 구성 체계에 그대로 유지되도록 했다.
  • DHCPACK과 임대된 내부 주소는 구성 영수증이지 접근 자격 증명이 아니었다: 호스트는 자신의 발신 주소를 직접 선택할 수 있었고, 릴레이에서 서버로 이어지는 경로는 별도 인증 없이는 IPsec 보호 밖에 있었다.

두 개의 주소는 서로 다른 두 현실을 표현했다

2003년 1월에 발표된RFC 3456은 인터넷 방향의 외부 주소와 별도로 구성된 인트라넷 방향의 가상 주소를 가진 원격 호스트를 기술했다. 외부 주소는 기업 보안 게이트웨이에서 IPsec 터널을 종단했다. 내부 주소는 기업 자원 입장에서 그 호스트가 게이트웨이 뒤에 있는 것처럼 보이게 했다.

이것은 유용한 간접화였지, 신원의 융합이 아니었다.일반 텍스트 RFC,RFC Editor 기록,Datatracker 파일,문서 이력,참고 문헌,이후 인용,정오표 검색은 표준 기록을 확립한다. 그러나 이 기록들은 특정 임대가 사용자를 승인했거나 애플리케이션이 목적지에 도달했음을 보여주지 않는다.

절차는 IKE 보안 연관으로 시작되었다. 수명이 짧고 DHCP 전용인 터널 모드 SA가 이어서 DHCPDISCOVER 또는 DHCPREQUEST 트래픽을 게이트웨이로 전달했다. DHCP가 주소와 옵션을 돌려준 뒤, 호스트는 퀵 모드 식별자에 새 주소를 사용해 더 넓은 VPN SA를 수립할 수 있었다. 임시 채널, 임대, 일반 데이터 터널은 서로 별개의 상태 전이였다.

재사용은 구성을 키 교환 밖에 유지했다

동시대의 원격 접속 요구사항을 담은RFC 3457은 주소 이상을 요구했다. 관리자에게는 주소 풀, 옵션, 재구성, 페일오버, 기존 관리 체계와의 통합이 필요했다.RFC 2131과RFC 2132의 옵션 어휘는 이미 그 기반을 제공하고 있었다.RFC 3442는 라우팅 정보도 DHCP 옵션으로 전달될 수 있음을 보여준다.

그래서 RFC 3456은 IKE를 두 번째 구성 서비스로 바꾸는 데 저항했다. 부록은 최소한의 IKE 구성 교환이라도 결국 임대, 갱신, 인증, 페일오버를 중복 구현하게 될 것이라고 논증했다. 설계는 암호 협상을 한정된 범위에 두고 주소 상태의 소유권을 DHCP에 남겨두었다.

가상 인터페이스는 하드웨어 유형 31을 받았다. 클라이언트 식별자는 가상 서브넷에서 고유해야 했고 재부팅을 넘어 유지되는 것이 권장되었다. 현재의IANA ARP 파라미터 레지스트리가 이 할당을 보존하고 있다. 이 식별자들은 구성을 상호 연관하는 데 도움을 주었을 뿐, 어느 것도 사람의 신원이나 인가 토큰으로 선언되지 않았다.

릴레이는 드러난 보안 이음새를 만들었다

게이트웨이는 보통 서버가 아니라 DHCP 릴레이로 동작했다. 게이트웨이는giaddr에 자신의 주소를 넣거나RFC 3046의 릴레이 에이전트 정보 메커니즘을 사용할 수 있었으며, 여기에는 가상 터널 포트를 위한 회로 식별자도 포함되었다. 또한 DHCPACK의yiaddr을 검사해 올바른 터널로 되돌아가는 경로를 설치할 수 있었다.

그러나 IPsec은 원격 호스트부터 게이트웨이까지만 DHCP를 보호했다. 게이트웨이와 DHCP 서버 사이의 무결성과 인증은RFC 3118과 같은 별도 메커니즘을 필요로 했다. 한 구간의 보호가 다음 구간의 보호를 자동으로 의미하지는 않았다.

보안 절에서 가장 강한 문장은 평범한 능력에서 비롯되었다: 원격 호스트가 자신의 IP 주소를 직접 설정할 수 있다는 것. 인증된 DHCP조차 그것을 막을 수 없었다. 따라서 할당된 주소는 접근 제어 결정의 밖에 있어야 했다. 터널별 필터나 퀵 모드 셀렉터가 허용된 트래픽을 인증된 터널 문맥에 결합해야 했다.RFC 2401의 IPsec 아키텍처와RFC 2409의 IKE는 주변의 정책 및 협상 모델을 제공할 뿐, 어떤 배포가 의도된 셀렉터를 실제로 설치했음을 증명하지 않는다.

ACK는 더 긴 연쇄 속의 한 장의 영수증이었다

DHCPACK은 구성이 하나의 트랜잭션을 통해 돌아왔음을 보여주었다. 릴레이 회로 식별자는 게이트웨이가 응답을 어디로 보내려 했는지를 보여주었다. 경로 항목은 로컬 포워딩 결정을 보여주었다. SPD 규칙이나 협상된 셀렉터는 정책 결합을 보여주었다. 관측된 애플리케이션 트래픽은 그 이후의 일을 보여주었다. 어느 하나도 나머지를 조용히 대신할 수 없었다.

Lu Heng의현실 계층 규율은 이러한 분리를 명시적으로 만든다.구현 코드 우선의 원칙은 안심시키는 다이어그램보다 설치된 경로, 셀렉터, 패킷에 주의를 돌리도록 이끈다.최소 초기 사양의 관점은 IKE를 부풀리는 대신 DHCP를 재사용한 가치를 설명한다. 이것들은 후대의 편집적 해석이며, RFC 저자들의 사적 의도에 대한 증거가 아니다.

RFC 3456은 임대를 인가라고 부르기를 거부함으로써 DHCP를 훼손하지 않았다. 오히려 프로토콜의 권위를 지켰다. DHCP는 가상 존재를 구성할 수 있었지만, 그 존재가 무엇을 할 수 있는지는 보안 게이트웨이가 여전히 결정해야 했다.

출처