Кратко

  • Неактивные Policy Objects создаются и меняются, затем отдельная операция пытается активировать ссылающийся на них Summary. Только активные объекты только для чтения описывают текущую политику Fabric.
  • Активная пара SA — тоже не итоговая квитанция: конкретному frame нужны направление, упорядоченный Traffic Selector, действие, SPI, согласованный transform и отдельный результат верхнего уровня.

Пережить перезапуск — отдельное свойство

StorageType описывает реализацию хранения. Даже permanent(4) не означает, что данные строки обязаны быть записываемыми. Сохранность, возможность изменения и применение отвечают на разные вопросы.

Аудитор может увидеть постоянную строку и назвать контроль внедрённым. Но неактивные объекты являются рабочей областью. Управляющий изменяет списки членов, разрешённых администраторов, ограничения связности и атрибуты, строит новый Policy Summary и вызывает активацию. Операция может завершиться ошибкой.

Нужны четыре квитанции: подготовленное значение, запрос, результат перехода и перечитанный активный набор. Первая не наследует полномочия четвёртой.

Summary связывает версии, а не доказывает распространение

Policy Summary указывает на каждый активный объект и хранит криптографический хеш объекта. Так связываются списки Switch и Node, IP Management, ограничения и атрибуты.

Совпавший хеш не доказывает синхронное получение и применение каждым Switch. Административное имя Fabric находится в Switch Membership List, а не в Summary; неверная проекция может сохранить байты и сменить смыслового владельца.

Согласованность чтения требует server session

Активные и неактивные объекты сохраняются после завершения сессии. Однако согласованность возвращаемых данных гарантируется лишь внутри неё. Обход таблиц вне блокировки может соединить старый Summary с новыми участниками.

Snapshot включает сервер, management instance, Fabric, границы сессии, sysUpTime и хеши. Близость времени не создаёт атомарность.

Настроенный способ аутентификации ещё не использован

FC-SP поддерживает секреты, сертификаты и пароли. DH-CHAP, FCAP и FCPAP могут взаимно аутентифицировать и создать общий ключ, который может установить SA. IKEv2-AUTH объединяет аутентификацию и управление SA.

Конфигурация не доказывает транзакцию, транзакция — SA, SA — frame. При недоступности внешнего сервера может применяться локальная информация, поэтому настроенный серверный протокол не доказывает фактический путь проверки.

Это не IPsec

Протокол управления SA является подмножеством IKEv2 для Fibre Channel и прямо назван не-IPsec. ESP_Header защищает FC-2 frames, CT_Authentication — CT_IU.

SA однонаправлена, но существует парой одного типа для противоположных направлений. t11FcSpSaPairTable хранит строку на активную пару. Строка показывает состояние у сущности, но не трафик в обоих направлениях и не успех приложения.

Порядок Selector определяет обработку

Traffic Selectors проверяются по порядку. Одни задают bypass или discard, другие protect или verify и ссылаются на SA. Первое совпадение определяет действие.

Активного SPI в Fabric недостаточно. Нужны направление, позиция, совпавший Selector, действие, SPI и согласованный transform. Предложение инициатора и допустимое значение ответчика не являются результатом переговоров.

Значение по умолчанию не равно остатку жизни

Срок SA измеряется временем либо байтами. Значение по умолчанию действует только без явного лимита. По достижении границы SA прекращается и при необходимости заменяется.

Восемь настроенных часов нельзя показывать как восемь оставшихся. Хранятся источник, единица, начальное значение, расход, эпоха, завершение и замена.

Уведомления прекращаются раньше ошибок

Ошибка аутентификации возможна на каждом входящем frame. После первой ошибки SA последующие уведомления подавляются в окне. После настроенного числа сообщивших SAs даже первые уведомления других SAs могут подавляться.

Ошибки всё равно обнаруживаются и считаются. Нет trap может означать подавление, отключение, потерю коллектора, restart или отсутствие события. Окно, максимум, подавленные, общий счётчик и sysUpTime нужны вместе.

Таблица отказов забывает старейшее

t11FcSpAuRejectMaxRows принимает от нуля до 1000. При заполнении старейшая запись заменяется новой. После restart строк меньше; при отсутствии поддержки максимум всегда ноль.

Пустота не доказывает историю без отказов. Последнее уведомление тоже описывает лишь период после запуска управляющей системы.

Счётчик принадлежит индексам

Область задают management instance, Fabric, сущность и интерфейс. Ноль в InterfaceIndexOrZero агрегирует интерфейсы экземпляра к Fabric. Нетранзиентные суммы могут хранить события исчезнувших строк SA.

Число без индексов не имеет владельца; дельта без sysUpTime, restart и Counter32 wrap не имеет надёжного интервала.

Квитанция решения

Для policy сохраняются согласованная сессия, имена и хеши неактивных объектов, предложенный Summary, источник, статус, причина и активное чтение после перехода. Для SA — сущность, интерфейс, peer, направления, SPI, transforms, Selectors, срок и счётчики. Для ошибки — разрешение уведомлений, окно, лимит, подавление, ёмкость, вытеснение, restart и доставка коллектору.

Использование и доставка требуют отдельного наблюдения frame и верхнего результата.

Источники