1.4.1. Löschen einer SA mit INFORMATIONAL-Austauschen

1.4.1. Löschen einer SA mit INFORMATIONAL-Austauschen

ESP- und AH-SAs existieren immer paarweise, mit einer SA in jede Richtung. Wenn eine SA geschlossen wird, MÜSSEN beide Mitglieder des Paares geschlossen (das heißt, gelöscht) werden. Jeder Endpunkt MUSS seine eingehenden SAs schließen und dem anderen Endpunkt erlauben, die andere SA in jedem Paar zu schließen. Zum Löschen einer SA wird ein INFORMATIONAL-Austausch mit einem oder mehreren Delete-Payloads gesendet, der die SPIs (wie sie in den Headern eingehender Pakete erwartet würden) der zu löschenden SAs auflistet. Der Empfänger MUSS die bezeichneten SAs schließen. Beachten Sie, dass man niemals Delete-Payloads für die zwei Seiten einer SA in einer einzelnen Nachricht sendet. Wenn es viele SAs gibt, die gleichzeitig gelöscht werden sollen, fügt man Delete-Payloads für die eingehende Hälfte jedes SA-Paars in den INFORMATIONAL-Austausch ein.

Normalerweise wird die Antwort im INFORMATIONAL-Austausch Delete-Payloads für die in die andere Richtung gehenden gepaarten SAs enthalten. Es gibt eine Ausnahme. Wenn beide Enden einer Gruppe von SAs unabhängig beschließen, sie zu schließen, kann jeder einen Delete-Payload senden und die beiden Anfragen sich im Netzwerk kreuzen. Wenn ein Knoten eine Löschanfrage für SAs erhält, für die er bereits eine Löschanfrage gesendet hat, MUSS er die ausgehenden SAs beim Verarbeiten der Anfrage und die eingehenden SAs beim Verarbeiten der Antwort löschen. In diesem Fall DÜRFEN die Antworten KEINE Delete-Payloads für die gelöschten SAs enthalten, da dies zu einer doppelten Löschung führen und theoretisch die falsche SA löschen könnte.

Ähnlich wie ESP- und AH-SAs werden auch IKE SAs durch Senden eines Informational-Austauschs gelöscht. Das Löschen einer IKE SA schließt implizit alle übrigen darunter ausgehandelten Child SAs. Die Antwort auf eine Anfrage, die die IKE SA löscht, ist eine leere INFORMATIONAL-Antwort.

Halboffene ESP- oder AH-Verbindungen sind anomal, und ein Knoten mit Audit-Fähigkeit sollte wahrscheinlich ihre Existenz auditieren, wenn sie fortbestehen. Beachten Sie, dass diese Spezifikation keine Zeiträume festlegt, sodass es den einzelnen Endpunkten überlassen bleibt, zu entscheiden, wie lange sie warten. Ein Knoten KANN die Annahme eingehender Daten auf halboffenen Verbindungen verweigern, DARF aber diese nicht einseitig schließen und die SPIs wiederverwenden. Wenn der Verbindungszustand ausreichend durcheinander gerät, KANN ein Knoten die IKE SA wie oben beschrieben schließen. Er kann dann die benötigten SAs auf einer sauberen Basis unter einer neuen IKE SA neu aufbauen.