Zum Hauptinhalt springen

9.2.3. Kommentare zur IPsec-Unterstützung (Comments for IPsec Support)

Während der Überprüfung durch die IPsec-Arbeitsgruppe wurden umfangreiche Kommentare zu zwei Bereichen dieses Dokuments eingereicht. Dieser Abschnitt beschreibt diese Kommentare und erklärt, warum die vorgeschlagenen Änderungen nicht übernommen wurden.

Per-Node vs. Per-SA-Konfiguration​

Der erste Kommentar legte nahe, dass eine Per-Node-Konfiguration einfacher zu implementieren sei als eine Per-SA-Konfiguration. Nach sorgfältiger Überlegung ist eine Per-Node-Konfiguration, obwohl sie zunächst gefördert wurde, nicht mehr eine gute Idee.

Begründung​

Die Sorge ist, dass im Laufe der schrittweisen Bereitstellung von ECN-Awareness in IPsec viele ECN-aware IPsec-Implementierungen sich mit einer Mischung aus ECN-aware und ECN-unaware IPsec-Tunnel-Endpunkten kommunizieren werden. In einer solchen Umgebung mit Per-Node-Konfiguration wäre die einzig vernünftige Vorgehensweise, die ECN-Verwendung für alle IPsec-Tunnel zu verbieten, was nicht das gewünschte Ergebnis ist.

SA-Verhandlung vs. ICMP​

Im zweiten Bereich wiesen mehrere Reviewer darauf hin, dass die SA-Verhandlung komplex ist und Ergänzungen dazu nicht trivial sind. Ein Reviewer schlug ICMP als mögliche Alternative nach dem Tunnel-Setup vor.

Entscheidung für SA-Verhandlung​

Die Ergänzungen zur SA-Verhandlung in diesem Dokument sind optional und bleiben optional; Implementierer können sie frei ignorieren. Die Autoren glauben, dass die bereitgestellten Garantien in vielen Fällen nützlich sein können. In der Praxis kann sie in späteren Phasen des Standardisierungsprozesses entfernt werden, wenn sie nicht implementiert wird.

Warum nicht ICMP?​

Die Erweiterung von ICMP zur Verhandlung von ECN nach dem Tunnel-Setup ist komplexer als die Erweiterung der SA-Attribut-Verhandlung. Einige Tunnel erlauben keinen Verkehr, der an den Tunnel-Austritts-Endpunkt adressiert ist, daher müssten ICMP-Pakete:

  • An eine andere Stelle adressiert werden
  • Vom Austritts-Endpunkt gescannt werden
  • Dort oder an ihrem tatsächlichen Ziel verworfen werden

Darüber hinaus ist die ICMP-Zustellung unzuverlässig, daher besteht die Möglichkeit, dass ICMP-Pakete verworfen werden, was die Erfindung eines weiteren Ack/Retransmit-Mechanismus erfordern würde. Es scheint besser, einfach eine optionale Erweiterung für den bestehenden SA-Verhandlungsmechanismus zu spezifizieren.