Zum Hauptinhalt springen

1.5. Informational Messages outside of an IKE SA (Informational außerhalb IKE SA)

1.5 Informational Messages outside of an IKE SA (Informational außerhalb IKE SA)​

Manchmal kann ein Knoten ein Paket nicht verarbeiten, will aber den Sender informieren.

  • ESP/AH mit unbekanntem SPI (Crash, Störung, Angriff).

  • Verschlüsselte IKE-Anfrage auf Port 500/4500 mit unbekanntem IKE-SPI (gleiche Gründe).

  • IKE-Anfrage mit höherer Major-Version als unterstützt.

Im ersten Fall: bei aktiver IKE SA zur Quell-IP KANN INVALID_SPI per INFORMATIONAL auf dieser SA gesendet werden (MAY). Notification Data enthält den SPI. Ohne passende IKE SA KANN ungeschützt zur Quell-IP gesendet werden, UDP-Zielport = Quellport bei UDP-Kapselung (MAY). Nur als Hinweis (fälschbar); kein INFORMATIONAL-Austausch; Empfänger DARF NICHT antworten (MUST NOT), Schleifen vermeiden. SPIs können 0 oder zufällig sein; Ausnahme zu Abschnitt 3.1 (kein Null-Initiator-SPI). Initiator-Flag 1, Response 0, Version normal (Abschnitt 3.1).

In den anderen Fällen: immer ungeschützt, INVALID_IKE_SPI oder INVALID_MAJOR_VERSION ohne Daten. Antwort an Quell-IP/-Port, SPI/Message ID/Exchange Type aus Anfrage, Response-Flag 1, Version normal.