Resumo

  • Uma exigência de implementação estabelece capacidade e interoperação possível, não o algoritmo negociado por pares específicos.
  • Oferta, seleção, política, autenticação, SA, ESP e resultado de serviço são recibos diferentes.

O RFC 8247 diz que IKE negocia parâmetros da IPsec SA e também que pares podem negociar algoritmos diferentes conforme política local. Portanto, suporte não é oferta; oferta não é seleção; seleção não é autenticação nem prova de SA criada. Um relatório honesto preserva identidades, propostas, transform escolhido, decisão de política, resultado de autenticação, IDs de SA e tempo.

O documento ainda declara que não atualiza os algoritmos de criptografia de pacotes ESP. Uma regra IKEv2 não vira evidência do plano de dados. Para afirmar que ESP protegeu um pacote, é preciso a SA correspondente e observação ESP; para afirmar recebimento ou serviço, são necessárias observações no destino e na aplicação. O registro IANA nomeia transforms, mas não mede sessões vivas.

Como lembra Heng Lu, mantenha o menor fato observado: requisito no texto, suporte no build, oferta, seleção, SA, pacote. Paul Wouters é um dos autores de um padrão coletivo, não o responsável por uma implementação ou rede concreta.

Fontes